Argus Scan
Politique de confidentialité
Dernière mise à jour : 7 juillet 2026
La présente politique décrit comment Argus Labs (« nous », « Argus Labs ») traite les données personnelles dans le cadre du service Argus Scan, accessible sur scan.argus-labs.fr.
1Objet et responsable du traitement
Données de compte : Argus Labs est responsable du traitement. Emails que vous scannez : vous êtes responsable du fondement légal de votre enquête ; Argus Labs agit en qualité de sous-traitant technique pour transmettre la requête aux services OSINT et vous renvoyer les résultats, sans conservation durable de l'email scanné dans notre base.
Le responsable du traitement des données de compte et de facturation est Argus Labs. Pour toute question relative à la protection des données : [email protected] ou [email protected].
2Données collectées
Données de compte et d'authentification
- Adresse email, nom d'affichage, photo de profil (si fournie via OAuth Google, lorsque activé)
- Sessions de connexion : adresse IP, user-agent, jetons de session
- Jetons de vérification magic link (temporaires)
Abonnement et facturation
- Identifiants Lemon Squeezy (client, abonnement, variante), statut d'abonnement, tier (Investigator, Pro), date de fin de période
- Les données de paiement (carte bancaire, etc.) sont traitées exclusivement par Lemon Squeezy, Merchant of Record — Argus Labs ne stocke pas vos coordonnées bancaires
Usage du service et quotas
- Compteurs de scans mensuels et quotidiens (par compte utilisateur, hash d'adresse IP et/ou identifiant visiteur hashé)
- Journaux d'usage anonymisés : tier, type de scan, durée d'exécution, hash IP — sans stockage de l'email scanné
- Clés API Pro : préfixe visible, empreinte hashée, date de dernière utilisation
Données techniques et anti-abus
- Adresse IP hashée (sel HMAC) pour rate limiting et quotas
- Identifiant visiteur (FingerprintJS côté navigateur, hashé côté serveur) pour limiter les contournements anonymes
- Événements webhooks Lemon Squeezy (id d'événement, hash de payload) pour idempotence
3Données non conservées
Par conception, Argus Scan ne stocke pas dans sa base de données les adresses email soumises aux scans ni les résultats bruts des investigations.
Les emails et requêtes sont transmis en temps réel à nos APIs OSINT partenaires pour produire une réponse affichée dans votre navigateur. Un cache temporaire (Smart Cache, jusqu'à 72 heures) peut exister côté infrastructure OSINT externe, comme indiqué sur la page d'accueil du service.
4Finalités et bases légales
- Exécution du contrat : création de compte, authentification, fourniture des scans, gestion des quotas, accès API Pro
- Intérêt légitime : sécurité, prévention des abus, rate limiting, amélioration du service, analytics agrégés sans profilage publicitaire
- Obligation légale : conservation comptable des données de facturation via Lemon Squeezy
- Consentement : lorsque requis pour des communications optionnelles (non applicable aux emails transactionnels indispensables)
6Mesure d'audience
Nous utilisons Umami Analytics, instance auto-hébergée sur analytics.argus-labs.fr (serveurs en France). Umami est configuré pour limiter la collecte : pas de cookies publicitaires tiers, pas de revente de données, pas de Google Analytics ni Facebook Pixel.
Les événements mesurés sont agrégés (clics, scans lancés, erreurs) sans associer d'identité marketing à des profils publicitaires.
7Sous-traitants et destinataires
Nous ne vendons ni ne louons vos données. Nous faisons appel aux sous-traitants suivants :
- OVHcloud (France) — hébergement de l'application, bases PostgreSQL, Redis, infrastructure Coolify
- Lemon Squeezy (USA/UK) — paiements, abonnements, facturation (Merchant of Record)
- Resend (USA) — envoi des emails transactionnels (liens magiques de connexion)
- API OSINT externe — traitement des requêtes de scan (email transmis pour recherche)
- GitINT — enrichissement OSINT GitHub (nom d'utilisateur GitHub)
- Enzoic — vérification du nombre de fuites de données associées à un email (tier Member et supérieur)
- cap.js (auto-hébergé) — preuve de travail anti-bot, sans profilage publicitaire
8Durées de conservation
- Données de compte : tant que le compte est actif, puis suppression sous 30 jours après demande de suppression (sauf obligation légale)
- Sessions expirées : suppression automatique
- Quotas Redis : expiration en fin de mois ou de journée selon le compteur
- Journaux d'usage : conservés pour statistiques de compte, sans email scanné
- Données de facturation Lemon Squeezy : selon les obligations légales du Merchant of Record (jusqu'à 10 ans pour la comptabilité)
9Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement TLS en transit, hachage des adresses IP et identifiants visiteur, clés API stockées sous forme hashée/chiffrée, rate limiting, validation CAPTCHA pour les tiers gratuits.
Aucun système n'est infaillible ; en cas d'incident affectant vos données personnelles, nous appliquerons les obligations de notification décrites ci-dessous.
10Transferts hors Union européenne
Certains sous-traitants (Lemon Squeezy, Resend) peuvent traiter des données hors de l'UE. Nous veillons à ce que des garanties appropriées soient en place (clauses contractuelles types de la Commission européenne ou mécanismes équivalents).
11Vos droits (RGPD)
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données de compte.
Pour exercer vos droits : [email protected]. Nous répondons sous 30 jours.
Vous pouvez également introduire une réclamation auprès de la CNIL.
12Notification de violation de données
- Notification à la CNIL sous 72 heures si la violation est susceptible d'engendrer un risque pour les droits et libertés
- Information des personnes concernées sans délai indu en cas de risque élevé
- Documentation interne de l'incident et des mesures correctives
13Mineurs
Le service s'adresse aux personnes âgées d'au moins 18 ans, ou aux mineurs utilisant le service sous la supervision d'un parent ou tuteur légal ayant accepté les présentes conditions.
14Modifications
Nous pouvons mettre à jour cette politique. Toute modification substantielle sera portée à votre attention par des moyens appropriés (notification sur le site ou par email pour les comptes enregistrés).