Politique de confidentialité

Dernière mise à jour : 19 octobre 2026

1. Responsable du traitement

Le responsable du traitement des données personnelles est NORNDIS (SASU), éditeur du service Qaviar, 60 rue François Ier, 75008 Paris, France, immatriculée sous le numéro SIREN 102 057 957.

Délégué à la protection des données (DPO) : dpo@qaviar.io

2. Données collectées

Qaviar collecte les catégories de données suivantes :

2.1 Données de compte

Adresse e-mail, nom de l'organisation, mot de passe (hashé), plan d'abonnement, date d'inscription. Ces données sont nécessaires à la création et à la gestion du compte (base légale : exécution du contrat).

2.2 Données de test

Instructions de test, captures d'écran des pages testées, journaux réseau et console, rapports PDF générés, étapes enregistrées de chaque test. Ces données sont générées par l'utilisation du service et stockées pour le compte de l'utilisateur.

2.3 Variables chiffrées

Les variables de projet, de test et de campagne (identifiants, tokens, mots de passe de test) sont chiffrées en AES-256-GCM avant stockage. Elles ne sont déchiffrées que par le moteur d'exécution, en mémoire, au moment du test : elles ne sont jamais affichées dans l'interface, jamais transmises à l'IA et jamais enregistrées en clair dans les traces. Les variables d'environnement, elles, ne sont pas chiffrées et restent lisibles par les membres de l'organisation : elles ne doivent contenir aucun secret.

2.4 Adresses e-mail de test

Chaque test dispose d'une adresse jetable (domaine test.qaviar.io), utilisable pour s'inscrire sur l'application testée. Lorsque la capture des e-mails est activée, une boîte jetable est créée sur le domaine mail.qaviar.io. Les e-mails reçus peuvent contenir des données personnelles (jetons, noms) ; leur copie conservée par Qaviar expire automatiquement 24 heures après la création du test.

2.5 Données de connexion

Adresse IP, type de navigateur, pages visitées, dates et heures de connexion, enregistrés dans les journaux techniques pour des raisons de sécurité et de bon fonctionnement du service. À l'inscription, seule une empreinte de l'adresse IP, calculée par une fonction de hachage à clé (HMAC), est conservée avec l'organisation, pour détecter les abus (plusieurs comptes d'essai testant le même site, par exemple) ; l'adresse IP en clair n'est pas enregistrée en base.

3. Finalités du traitement

Les données sont traitées pour les finalités suivantes :

Fourniture et amélioration du service de QA automatisée
Gestion des comptes utilisateurs et des abonnements
Facturation et gestion des paiements (via Stripe)
Communications relatives au service (notifications, alertes)
Sécurité et prévention de la fraude
Respect des obligations légales

4. Bases légales

Exécution du contrat : création de compte, fourniture du service, facturation
Intérêt légitime : sécurité, amélioration du service, prévention de la fraude
Obligation légale : conservation des données de facturation
Consentement : newsletter (le cas échéant)

5. Sous-traitants et transferts

Les données sont traitées par les sous-traitants suivants :

Supabase (Singapour/USA) — base de données, authentification, stockage fichiers
Stripe (USA) — traitement des paiements
Anthropic (USA) — API d'intelligence artificielle (analyse des pages testées)
OVH (France) — hébergement de l'application web et du serveur d'exécution des tests
Resend (USA) — envoi des e-mails transactionnels (vérification d'adresse, réinitialisation du mot de passe)
Sentry (USA) — suivi des erreurs techniques, sans corps de requête, en-têtes, cookies ni paramètres d'URL

Lorsque l'utilisateur les connecte, les services suivants reçoivent les données nécessaires à leur fonctionnement : Google (connexion avec un compte Google), Figma (lecture des maquettes), Slack (envoi des notifications), GitHub et GitLab (statut des tests sur les pull requests).

Les transferts de données hors UE sont encadrés par les clauses contractuelles types de la Commission européenne et/ou par la conformité des sous-traitants au Data Privacy Framework UE-US.

6. Durée de conservation

Données de compte et données de test (captures d'écran, rapports, étapes) : tant que le compte existe ; supprimées ou exportées sur simple demande à dpo@qaviar.io, sous 30 jours
Inscriptions dont l'adresse n'a pas été vérifiée : supprimées automatiquement après 48 heures
Liens de vérification d'adresse et de réinitialisation du mot de passe : 24 heures et 30 minutes, à usage unique
E-mails reçus par les boîtes jetables : 24 heures après la création du test
Données de facturation : 10 ans (obligation légale française)
Journaux de connexion : 12 mois au plus

7. Droits des utilisateurs

Conformément au RGPD, vous disposez des droits suivants :

Droit d'accès : obtenir la confirmation du traitement de vos données et en recevoir une copie
Droit de rectification : corriger des données inexactes ou incomplètes
Droit à l'effacement : demander la suppression de vos données
Droit à la portabilité : recevoir vos données dans un format structuré et lisible
Droit d'opposition : vous opposer au traitement de vos données
Droit à la limitation : demander la limitation du traitement

Pour exercer ces droits : dpo@qaviar.io. Réponse sous 30 jours.

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr

8. Sécurité

Qaviar met en œuvre les mesures de sécurité suivantes :

Chiffrement AES-256-GCM pour les variables sensibles
Chiffrement TLS/HTTPS pour toutes les communications
Row Level Security (RLS) sur chaque table de la base de données
Isolation des données par organisation
Authentification avec hachage bcrypt des mots de passe
Liens de vérification et de réinitialisation stockés uniquement sous forme hachée
Tokens Figma chiffrés avant stockage
Validation des URLs de projets et passage des requêtes vers les sites testés par un proxy de sortie (protection SSRF)
Limitation du nombre de requêtes (inscription, réinitialisation du mot de passe, appels à l'IA)

9. Intelligence artificielle

Qaviar utilise l'API Claude (Anthropic) pour analyser les pages web testées. Les captures d'écran et instructions de test sont envoyées à l'API pour générer les actions de test et les observations. Les valeurs des variables (identifiants, mots de passe) ne sont jamais envoyées à l'API : l'IA n'en voit que les noms.

Selon les conditions commerciales d'Anthropic, les données transmises via son API sont conservées pour une durée limitée et ne sont pas utilisées pour entraîner ses modèles. Voir la politique de confidentialité d'Anthropic pour plus de détails.

Le lancement d'un test enregistré n'utilise pas l'IA : il rejoue les étapes enregistrées dans un navigateur, sans appel à Claude. Sur les formules payantes, quand un lancement montre un écart, son analyse envoie à l'IA les captures d'écran et le texte des étapes en écart, sans aucune valeur de variable.

10. Modifications

Qaviar se réserve le droit de modifier cette politique. Les utilisateurs seront informés par e-mail en cas de modification substantielle. La date de mise à jour en haut de cette page fait foi.

11. Contact

Pour toute question relative à la protection de vos données : dpo@qaviar.io