Politique de confidentialité

1. Qui nous sommes

QA Spider (« nous ») fournit des services de test logiciel automatisé pour les applications web. Cette politique couvre le site web de QA Spider et le tableau de bord QA Spider. Pour toute question relative à la vie privée, ou pour exercer un droit décrit ci-dessous, écrivez à [email protected].

2. Ce que nous collectons

Nous collectons uniquement ce dont le service a besoin pour fonctionner. Concrètement :

• Données de compte : votre nom, votre adresse e-mail et un mot de passe haché (nous ne stockons jamais votre mot de passe sous une forme lisible). Si vous vous connectez avec Google ou GitHub, nous recevons à la place votre nom, votre e-mail et votre avatar de la part de ce fournisseur.
• Données de l'espace de travail : le nom de votre organisation, les membres de l'équipe et leurs rôles, ainsi que les invitations que vous envoyez.
• Configuration des projets : les URL des applications que vous nous demandez de tester, les environnements que vous définissez, et les identifiants de comptes de test que vous choisissez d'enregistrer pour que nos tests puissent se connecter.
• Identifiants d'intégration : les jetons d'API ou URL de webhook que vous fournissez pour connecter un outil de suivi de bugs ou un outil de messagerie.
• Accès à Google Search Console : uniquement si vous choisissez de le connecter : un jeton d'accès en lecture seule à votre compte Google (stocké chiffré), l'adresse e-mail de ce compte et la propriété Search Console que vous choisissez. Nous lisons alors les performances de recherche de cette propriété (requêtes, pages, clics, impressions et position moyenne), les pages que Google a indexées et les sitemaps qui ont été soumis, afin de vous les montrer dans votre tableau de bord. Nous lisons également les titres, intertitres, textes et liens d'un maximum de 30 de vos propres pages publiques, afin de suggérer des améliorations et des liens internes. Dans la section Boost SEO « Pourquoi des pages ne sont pas indexées », nous vérifions aussi jusqu'à environ 100 adresses issues de votre propre sitemap et de vos liens internes (leur statut HTTP, leurs redirections, leurs balises noindex et leur balise canonique) et nous lisons votre fichier robots.txt ; ce sont des fichiers et pages publics de votre propre site web. Lorsque vous cliquez sur « Vérifier avec Google », nous interrogeons l'inspection d'URL de Google sur un maximum de 25 de ces adresses à la fois et nous vous montrons ses réponses. Nous n'en conservons aucune copie : les données sont récupérées quand vous ouvrez une page ou cliquez sur un bouton et ne sont gardées qu'en mémoire (quelques minutes, jusqu'à une heure pour la vérification de vos propres pages, et jusqu'à 24 heures pour l'état d'indexation signalé par Google), et un redémarrage du serveur les efface. Les résultats ne sont transmis à aucun autre service. La seule exception est Boost SEO : lorsque vous cliquez sur « Je l'ai fait » pour une suggestion, nous enregistrons les clics, impressions et position moyenne de cette page (et la requête de recherche, si la suggestion en concerne une) ainsi que les dates couvertes, afin de pouvoir vous montrer ensuite l'évolution.
• Idées de sujets, briefs et mises à jour Bing et Yandex de Boost SEO : uniquement si vous les utilisez. Nous conservons les idées de mots-clés renvoyées pour votre site, la date de chaque recherche (qui décompte aussi votre quota mensuel) et les briefs de contenu que vous demandez, jusqu'à ce que vous nous demandiez de les supprimer ou que vous fermiez votre compte. Rien de tout cela ne provient de Search Console : les mots-clés viennent des mots présents sur vos propres pages publiques et d'un service de données de mots-clés. La clé pour les mises à jour Bing et Yandex n'est pas stockée ; elle est calculée à partir de l'adresse de votre site chaque fois que c'est nécessaire.
• Audit hebdomadaire et surveillance quotidienne du site : uniquement avec les offres qui les incluent et uniquement si vous les activez (la surveillance quotidienne suit le site de l'audit hebdomadaire, ou votre dernier audit). Nous conservons l'adresse du site, la date de la dernière vérification et son résultat (la page d'accueil a-t-elle répondu, est-elle fermée à Google, quand son certificat expire-t-il), afin de pouvoir vous écrire quand quelque chose change. Chaque vérification quotidienne se limite à quelques requêtes vers votre propre page d'accueil publique et votre fichier robots.txt.
• Résultats des tests : issues des exécutions, durées, résultats par étape, sorties d'erreur et captures d'écran des pages testées, ainsi que les rapports de bug générés à partir de ceux-ci.
• Données d'utilisation et de facturation : votre offre, votre solde de jetons et un registre des consommations (quelle exécution ou génération a utilisé quoi). Si vous payez pour Solo ou Pro, nous conservons aussi les identifiants client et abonnement Stripe de votre espace de travail ainsi que le statut de l'abonnement (actif, en retard de paiement ou résilié à une date donnée). Nous ne voyons ni ne stockons jamais votre numéro de carte : vous le saisissez sur la page de paiement de Stripe elle-même.
• Messages de contact : le nom, l'e-mail et le message que vous envoyez via notre formulaire de contact.
• Demandes d'analyse : si vous nous demandez d'analyser votre propre site depuis notre page d'accueil, l'adresse que vous nous donnez et le site concerné, afin de pouvoir vous envoyer le rapport et vous répondre si vous écrivez. Voir la section 6.
• Outils gratuits : l'adresse que vous saisissez dans l'une des vérifications gratuites de /tools. Nous lisons les pages publiques, le robots.txt, le sitemap, le llms.txt ou les enregistrements DNS de ce site pour répondre, et nous vous montrons le résultat. Nous ne conservons rien : l'adresse et le résultat ne sont pas stockés, et votre adresse IP n'est gardée qu'en mémoire, pendant une heure au plus, afin de limiter le nombre de vérifications qu'une même connexion peut lancer. La vérification des données structurées transmet l'adresse de la page au validateur public de Schema.org (validator.schema.org), qui lit lui-même la page.
• Journaux du serveur : journaux techniques standard, dont l'adresse IP et le user agent, conservés pour la sécurité et le débogage.
• Statistiques du site web : quelles pages sont consultées et sur quels liens on clique, afin de savoir ce que les gens trouvent utile. Là où le droit du consentement s'applique, la mesure se fait sans cookie et sans aucun identifiant, chaque visite étant comptée isolément ; ailleurs, un cookie est déposé pour reconnaître une visite répétée. Dans ce cas, une fois que vous êtes connecté, PostHog associe aussi ces événements à l'identifiant interne de votre compte (jamais à votre e-mail ni à votre nom), afin que nous voyions quelles étapes du produit sont utilisées. Voir la section 11.

3. Ce que nous ne faisons pas

• Nous ne vendons pas vos données personnelles, et nous ne l'avons jamais fait.
• Nous ne construisons pas de profils publicitaires vous concernant et n'utilisons ni publicité personnalisée ni reciblage. Là où le droit du consentement ne l'interdit pas, nous mesurons si un clic sur une publicité a abouti à une inscription, afin de savoir quelle publicité vaut la peine d'être payée.
• Nous n'ajoutons aucun script de statistiques ou de suivi aux rapports d'audit que nous envoyons aux entreprises.
• Nous n'utilisons pas les données de votre application ni vos résultats de tests pour entraîner des modèles d'apprentissage automatique.
• Nous ne vendons pas, ne partageons pas et n'utilisons pas pour la publicité les données Google Search Console que vous connectez, et nous ne les envoyons à aucun modèle d'IA, service de données de mots-clés, moteur de recherche ou autre tiers, ni ne les utilisons pour en entraîner un. Elles ne sont montrées qu'à vous et à votre équipe, dans votre propre tableau de bord. Les recherches de mots-clés, les briefs de contenu et les mises à jour Bing et Yandex décrits à la section 7 n'utilisent que le texte public de votre propre site web, un mot-clé que vous choisissez et des adresses de pages issues de votre propre sitemap ou que vous saisissez ; rien de tout cela ne vient de Search Console. L'utilisation et le transfert par QA Spider des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'utilisation limitée (Limited Use).
• Nous ne lisons pas votre code source, sauf si vous connectez vous-même un dépôt. Dans ce cas, l'accès est en lecture seule, limité aux dépôts que vous sélectionnez, révocable par vous à tout moment sur GitHub, et nous ne stockons jamais votre code : les fichiers sont lus le temps d'une question, puis écartés.

4. Pourquoi nous les traitons

Pour fournir le service auquel vous vous êtes inscrit (exécuter des tests, rapporter les résultats, déclarer des bugs dans votre outil de suivi, envoyer des alertes) : il s'agit de l'exécution d'un contrat. Pour sécuriser les comptes, prévenir les abus et déboguer les défaillances : notre intérêt légitime. Pour vous envoyer les e-mails transactionnels dont dépend le service, comme les codes de connexion et les notifications d'exécution : exécution d'un contrat. Lorsque nous nous appuyons sur votre consentement, par exemple pour des e-mails marketing facultatifs, vous pouvez le retirer à tout moment.

5. Identifiants des comptes de test : à lire attentivement

Si vous enregistrez des identifiants pour que nos tests se connectent à votre application, utilisez un compte de test dédié, avec le minimum de permissions nécessaires, sur un environnement hors production dans la mesure du possible. N'enregistrez jamais un compte réel de client ou d'administrateur.

Les jetons d'intégration et les identifiants des comptes de test sont tous chiffrés au repos avec AES-256-GCM. Si notre serveur ne peut pas les chiffrer, il refuse de les stocker plutôt que de les conserver sous une forme lisible. Malgré tout, considérez tout identifiant que vous nous confiez comme un identifiant que vous accepteriez de renouveler, et renouvelez-le si vous cessez d'utiliser QA Spider.

6. Rapports d'audit : ceux que vous demandez et ceux que nous envoyons sans demande

Un de nos rapports peut exister de deux façons, et elles ne sont pas équivalentes.

Si vous l'avez demandé : vous nous avez donné une URL et une adresse e-mail sur notre page d'accueil, nous avons lu ce site et vous avons envoyé le rapport. Nous conservons votre adresse pour l'envoyer, pour vous permettre de nous interroger à ce sujet et pour la supprimer à votre demande. Nous ne vous ajoutons à aucune liste de diffusion et n'envoyons rien d'autre, sauf si vous nous écrivez d'abord. Les rapports demandés de cette façon sont lus par défaut en surface ; une analyse plus approfondie n'a lieu que si vous cliquez sur le bouton du rapport qui la demande.

Si vous ne l'avez pas demandé : il nous arrive de lire les pages accessibles publiquement d'une entreprise avec laquelle nous aimerions travailler, et de lui envoyer un rapport sur ce que nous avons trouvé. Nous le faisons avant qu'aucune relation n'existe ; il est donc utile d'en préciser clairement les modalités.

Ce que nous lisons est ce que n'importe qui peut lire avec un navigateur : les pages liées depuis votre sitemap, récupérées une fois chacune, dans le respect du robots.txt, sans charge sur vos systèmes. Nous ne nous connectons pas, sauf si vous nous donnez un compte de test ; dans ce cas, l'analyse lit des pages et ne soumet aucun formulaire autre que celui de connexion. Le rapport est servi depuis un lien non public, est exclu des moteurs de recherche et peut être retiré sur demande.

Chaque lien de rapport enregistre quand il est ouvert, avec l'adresse IP, la ville et le pays qui en sont déduits, et le navigateur. Pour un rapport que nous avons envoyé sans demande, nous l'utilisons pour juger s'il a été lu et s'il a été transféré, ce qui est le seul moyen de savoir si une relance est bienvenue ; ce traitement repose sur notre intérêt légitime à la prospection interentreprises. Pour un rapport que vous avez demandé, le même enregistrement existe mais ne nous sert à rien de tel : il est là parce que le lien est accessible à quiconque le détient, et nous voudrions savoir s'il circulait. Les adresses et les informations sur le navigateur sont supprimées après 90 jours ; il ne reste ensuite que le nombre d'ouvertures.

Si vous préférez que nous ne conservions rien de tout cela, écrivez à [email protected] et nous supprimerons le rapport, le lien et ses enregistrements d'ouverture. Nous cesserons aussi de vous contacter, et nous n'avons pas besoin de justification.

7. Où vivent vos données, et qui d'autre y accède

L'application et sa base de données sont hébergées chez Render, dans la région UE (Francfort), sur un disque persistant chiffré. Nous faisons appel à un petit nombre de sous-traitants, chacun pour une finalité clairement délimitée :

• Render : hébergement de l'application et stockage de la base de données (UE).
• Anthropic : le modèle d'IA qui rédige les cas de test, les documents QA et les rapports de bug. Il reçoit le prompt et le contexte produit nécessaires à cet élément. Dans Boost SEO, lorsque vous cliquez sur « Rédiger un brief », il reçoit le mot-clé que vous avez choisi, ses chiffres de recherche ainsi que les titres, intertitres et descriptions d'un maximum de douze de vos pages publiques, et rien provenant de Search Console.
• OpenAI : un autre fournisseur de modèles d'IA, utilisé à la place d'Anthropic lorsque notre serveur est configuré avec lui pour une fonctionnalité. Il reçoit le même type de prompt qu'Anthropic pour cette fonctionnalité (pour un brief Boost SEO, uniquement ce qui est décrit ci-dessus) et jamais de données Search Console.
• DataForSEO : un service de données de mots-clés, utilisé uniquement lorsque vous cliquez sur « Trouver des sujets » dans Boost SEO. Il reçoit jusqu'à dix courtes expressions tirées des titres, intertitres et descriptions de vos propres pages publiques, un code de pays et de langue, ainsi que les identifiants de notre compte. Il ne reçoit aucune donnée personnelle ni rien provenant de Search Console.
• IndexNow (Bing, Yandex, Naver, Seznam, Yep et d'autres moteurs de recherche participants) : uniquement lorsque vous cliquez sur un bouton d'envoi dans la section « Bing et Yandex » de Boost SEO. Nous envoyons le nom d'hôte de votre site, votre clé IndexNow, l'adresse de votre fichier de clé et jusqu'à 100 adresses de pages issues de votre propre sitemap public ou que vous avez saisies. Les moteurs participants partagent entre eux ce qu'ils reçoivent. Google n'y participe pas. Aucune donnée personnelle et rien provenant de Search Console n'est envoyé.
• Stripe : traitement des paiements pour les offres Solo et Pro. Il recueille et conserve vos coordonnées de carte sur sa propre page de paiement ; nous ne recevons ni ne stockons jamais de numéros de carte. Nous lui envoyons votre adresse e-mail (pour préremplir le paiement et pour les reçus), l'identifiant de votre espace de travail et l'offre choisie, et nous ne conservons que les identifiants client et abonnement Stripe ainsi que le statut de l'abonnement qu'il nous renvoie.
• Resend : envoi des e-mails transactionnels (codes de connexion, notifications, réponses aux messages de contact).
• GitHub Actions : exécute vos tests et nous en renvoie le résultat.
• Firecrawl : récupère et cartographie les pages publiques d'un site que vous nous demandez d'analyser.
• Browserbase : fournit le navigateur hébergé utilisé pour l'enregistrement de tests en direct, facultatif. Utilisé uniquement si cette fonctionnalité est activée pour votre espace de travail.
• Umami : compte les visites sur notre site web. Ne dépose aucun cookie et ne stocke rien sur votre appareil ; le caractère unique d'une visite vient d'un hachage calculé sur ses serveurs à partir d'un sel qui change chaque jour.
• Google Analytics : mesure les visites sur notre site web et notre tableau de bord. Les adresses IP sont tronquées. Le stockage est désactivé là où le droit du consentement s'applique et activé ailleurs.
• PostHog : statistiques produit et, uniquement avec votre accord, relecture de session de notre propre site web. Fonctionne sans stockage tant que vous n'avez pas donné votre accord.
• GitHub : si vous connectez un dépôt, nous lisons les fichiers nécessaires pour répondre à une question sur un test en échec. En lecture seule, et nous ne stockons rien.
• Google et GitHub : fournisseurs d'identité, uniquement si vous choisissez de vous connecter avec eux.
• Google Search Console : uniquement si vous la connectez : nous appelons l'API Search Console avec votre autorisation en lecture seule pour lire les performances de recherche, l'état d'indexation et les sitemaps soumis de la propriété que vous choisissez. Rien de ce qui est lu dans Search Console n'est transmis à un autre sous-traitant de cette liste. Vous pouvez révoquer l'accès à tout moment (voir la section 8).

8. Combien de temps nous les conservons

Les données de compte et d'espace de travail sont conservées tant que votre compte existe. Les résultats de tests, captures d'écran et rapports de bug générés sont conservés pour que votre historique et vos indicateurs restent pertinents ; vous pouvez supprimer à tout moment des exécutions, bugs et projets individuels, et la suppression est immédiate. Les messages du formulaire de contact sont conservés le temps dont nous avons besoin pour vous répondre. Les journaux du serveur sont conservés pendant une courte période opérationnelle. Lorsque vous fermez votre compte, nous supprimons les données de votre espace de travail, en ne conservant que ce que nous devons garder pour des raisons légales ou comptables. Si vous avez connecté Google Search Console, nous conservons le jeton d'accès chiffré, l'e-mail de votre compte Google, la propriété choisie et les relevés avant/après de Boost SEO que vous avez enregistrés jusqu'à ce que vous cliquiez sur Déconnecter dans l'onglet Google de Boost SEO (ce qui les supprime tous immédiatement) ou que vous fermiez votre compte. Les idées de mots-clés, les enregistrements de recherches et les briefs de contenu créés dans Boost SEO sont conservés jusqu'à ce que vous nous demandiez de les supprimer ou que vous fermiez votre compte. Vous pouvez aussi révoquer l'accès depuis votre compte Google à tout moment, sous Sécurité, puis Accès tiers, et tout jeton que nous détenons encore cesse de fonctionner.

9. Vos droits

Vous pouvez accéder à vos données, les corriger, les exporter ou les supprimer. Une grande partie de ces actions est en libre-service dans le tableau de bord : vous pouvez exporter les documents générés, supprimer des bugs, exécutions et projets, et gérer les membres de l'équipe. Pour tout le reste (export complet, suppression du compte, opposition au traitement ou réclamation), écrivez à [email protected] et nous vous répondrons sous 30 jours. Si vous êtes dans l'EEE ou au Royaume-Uni, vous avez aussi le droit d'introduire une réclamation auprès de votre autorité locale de protection des données.

10. Sécurité

L'accès à l'environnement de production est réservé aux personnes qui l'exploitent. Le trafic est servi en HTTPS. Les jetons d'intégration sont chiffrés au repos. Les actions tournées vers l'extérieur (déclarer un ticket dans votre outil de suivi, publier dans votre messagerie, exécuter sur un environnement ressemblant à de la production) exigent une approbation explicite dans le produit au lieu de se produire en silence. Aucun système n'est parfaitement sûr ; si nous avons connaissance d'une violation affectant vos données, nous vous en informerons sans retard injustifié.

11. Cookies

Le seul cookie que nous déposons est strictement nécessaire et existe parce que le site ne peut pas fonctionner sans lui : un cookie de session qui vous maintient connecté. Votre préférence de thème clair ou sombre est stockée dans le stockage local de votre navigateur plutôt que dans un cookie ; elle ne nous parvient donc jamais.

Ce que stockent nos outils de statistiques dépend de l'endroit où vous vous trouvez. Là où le droit du consentement s'applique (UE, EEE, Royaume-Uni et Suisse), Google Analytics et PostHog fonctionnent avec le stockage désactivé : nous comptons qu'une visite a eu lieu et quelles pages ont été lues, rien n'est écrit sur votre appareil et rien ne relie cette visite à la suivante. Ailleurs, ils déposent un cookie, ce qui nous permet de reconnaître une visite répétée et de savoir si un clic sur une publicité a abouti à une inscription.

Umami, notre principal compteur, ne dépose aucun cookie nulle part et n'a besoin d'aucune autorisation. C'est pourquoi le site ne place pas de bandeau de cookies devant vous.

La relecture de session de notre propre site web (un enregistrement du comportement de la page pour vous) n'est activée que si vous y consentez lorsqu'on vous le demande, et refuser ne vous coûte rien : vous êtes quand même comptabilisé.

Nous n'utilisons ni publicité personnalisée ni reciblage, et nous ne construisons pas de profils des visiteurs.

12. Enfants

QA Spider est un outil professionnel et ne s'adresse à personne de moins de 16 ans. Nous ne collectons pas sciemment leurs données.

13. Modifications

Si nous modifions cette politique de manière substantielle, nous mettrons à jour la date ci-dessus et, pour les changements qui affectent la manière dont nous traitons vos données, nous préviendrons les propriétaires de compte par e-mail avant leur entrée en vigueur.