Politique de confidentialité

BadgerQuest est un service ludique de formation en sensibilisation à la sécurité, exploité par CyberBadger, une société immatriculée en Ontario, au Canada. La présente politique explique quels renseignements personnels nous recueillons, pourquoi, combien de temps nous les conservons et quels droits vous avez. Elle vise le service à badgerquest.ca ainsi que nos communications de vente et de marketing.

Questions ou demandes : privacy@cyberbadger.ca.

En bref

• Nous ne vendons pas vos renseignements personnels, et nous ne les utilisons jamais à des fins publicitaires. Chaque témoin que nous déposons est strictement nécessaire au fonctionnement du service. Il n'y a aucun témoin publicitaire ni d'analyse par un tiers, et aucun pixel de suivi.
• Si votre employeur vous a fourni un compte, ses administrateurs peuvent voir votre activité de formation, votre achèvement et un score de risque calculé. Ils ne peuvent pas voir vos réponses individuelles aux questionnaires.
• Vous pouvez exporter tout ce que nous détenons à votre sujet, et supprimer votre compte, vous-même, depuis les Réglages, immédiatement, sans passer par nous ni par qui que ce soit.
• Nous ne recevons jamais de données biométriques. La connexion par clé d'accès vérifie votre empreinte, votre visage ou votre NIP entièrement sur votre propre appareil.
• Vos données sont hébergées aux États-Unis (Railway) et les paiements sont traités au Canada (Helcim). Ces deux fournisseurs, plus notre fournisseur de courriel, sont les seuls tiers en cause.

Le reste de la politique couvre tout cela en détail, y compris les aspects moins évidents, comme ce qui se produit si votre employeur revendique le domaine de votre courriel professionnel.

1. Qui est responsable de vos renseignements

CyberBadger exploite BadgerQuest. Selon la façon dont vous en êtes venu à l'utiliser, c'est soit votre organisation, soit CyberBadger qui est juridiquement responsable de vos renseignements personnels.

• Si un employeur, un établissement d'enseignement ou une autre organisation vous a fourni un compte, y compris par authentification unique, par invitation, ou en revendiquant votre domaine de courriel (section 8), cette organisation est le responsable du traitement de vos données de formation et CyberBadger en est le sous-traitant : nous agissons selon les instructions de cette organisation, en vertu de son entente avec nous. Pour consulter ou corriger vos données de formation, votre administrateur est habituellement la voie la plus rapide, puisqu'il peut agir directement. Vous pouvez aussi vous adresser à nous et nous vous aiderons ou transmettrons la demande.
• Si vous vous êtes inscrit vous-même, sans employeur en cause, CyberBadger est le responsable du traitement.
• Si vous êtes un contact d'affaires dans notre pipeline de vente (section 9), CyberBadger est le responsable du traitement de ces renseignements.

Une entente de traitement des données couvrant la relation de sous-traitance est offerte sur demande aux organisations clientes.

2. Ce que nous recueillons

Chaque événement d'analyse demeure dans notre propre base de données. Rien n'est transmis à une société d'analyse externe.

3. Ce que nous choisissons délibérément de ne pas recueillir

• Aucune donnée biométrique. Les clés d'accès utilisent votre empreinte, votre visage ou le NIP de votre appareil, et toute cette vérification se fait sur votre appareil, par le système d'exploitation de celui-ci. Nous recevons une clé publique et quelques métadonnées techniques sur le justificatif, rien d'autre. Vos données biométriques ne nous parviennent jamais, sous aucune forme, et il n'y a rien de tel de notre côté qui pourrait fuiter.
• Aucun suivi par des tiers. Aucun témoin publicitaire, aucun pixel de suivi, aucune analyse par un tiers, aucune technologie publicitaire de quelque nature que ce soit.
• Aucun suivi d'erreurs par un tiers. Quand quelque chose brise, le rapport va dans notre propre base de données, et non chez un fournisseur externe de surveillance.
• Aucun fournisseur d'intelligence artificielle ou de grand modèle de langage. Les arnaques simulées sont produites par un générateur déterministe que nous avons écrit et que nous exploitons nous-mêmes. Vos données ne sont jamais transmises à un fournisseur d'IA.
• Aucune police de caractères externe ni réseau de diffusion de contenu. Les ressources sont hébergées par nous à la compilation, de sorte que le chargement de l'application n'appelle personne à l'extérieur.

4. Témoins et stockage local

Chaque témoin que nous déposons est strictement nécessaire. Aucun ne sert à la publicité, au suivi ou à l'analyse, et nous ne déposons aucun témoin de tiers, ce qui explique pourquoi on ne vous demande de consentir à aucun.

Le témoin de session est réservé au protocole HTTP, de même site, et marqué sécurisé en production, de sorte que les scripts de page ne peuvent pas le lire et qu'il ne circule que par HTTPS.

Nous utilisons aussi le stockage local du navigateur pour trois préférences qui ne quittent jamais votre appareil : votre thème (bq-theme), la mise en sourdine des sons (bq-muted), et le fait que vous ayez écarté une invitation (bq-invite-nudge-dismissed).

5. Ce que les administrateurs de votre organisation peuvent voir

Si vous appartenez à une organisation, ses propriétaires et administrateurs peuvent voir, pour chaque membre : nom, courriel, rôle, service, PX, série, nombre de quêtes et exactitude, résultats des exercices d'hameçonnage (rencontres, attrapés, manqués, fausses alertes), date de dernière activité, date de dernière connexion, date d'adhésion, ainsi qu'un score de risque humain individuel accompagné d'une cote alphabétique (section 7).

Ils ne peuvent pas voir vos réponses individuelles aux questionnaires. Vous seul le pouvez, au moyen de votre propre exportation de données (section 12).

Tout ce qu'ils voient est compté à partir du jour où vous avez joint cette organisation, et non à partir de votre tout premier jour sur BadgerQuest. Si vous avez utilisé BadgerQuest avant d'y travailler, ou avant même que l'organisation ait un compte, cette pratique antérieure demeure la vôtre : elle ne figure ni dans leur liste de membres, ni dans leurs rapports, ni dans le score qu'ils voient de vous. Votre propre vue de votre historique n'est pas touchée et montre toujours tout.

Un administrateur peut exclure certains membres des statistiques globales de l'organisation. Le cas échéant, le nombre de personnes exclues est indiqué à côté du score, afin que les chiffres restent honnêtes quant à leur propre dénominateur.

Accès programmatique à votre score

Sur les forfaits qui comprennent l'accès à l'API, votre organisation peut aussi extraire votre score de risque humain et les événements connexes par programmation et les acheminer vers ses propres systèmes, par exemple une plateforme de surveillance de la sécurité ou de ressources humaines. Il s'agit des mêmes renseignements qu'un administrateur peut déjà voir dans le produit ; l'API ne fait que l'automatiser. Ce que votre organisation en fait, y compris toute décision qu'elle prend en conséquence, relève de sa responsabilité et non de la nôtre. Nos conditions exigent des organisations qu'elles n'utilisent pas le score comme seul fondement d'une décision automatisée ayant une incidence importante sur une personne.

6. Clés d'accès

Nous stockons une clé publique et des métadonnées techniques : identifiant de justificatif, compteur de signatures, transports, type d'appareil, indication de sauvegarde du justificatif, et toute étiquette que vous lui donnez. Nous ne demandons délibérément aucune attestation d'appareil, de sorte que nous ne recueillons pas de renseignements permettant d'identifier votre appareil en particulier. La vérification de votre empreinte, de votre visage ou de votre NIP se fait sur votre appareil et ne nous est jamais transmise.

7. Votre score de risque humain, et le traitement automatisé

Nous calculons un score de risque humain pour chaque personne, présenté sous forme de pourcentage et de cote alphabétique. Il combine trois éléments : la fréquence à laquelle vous signalez les simulations d'hameçonnage que vous rencontrez, votre exactitude aux questionnaires, et la fréquence à laquelle ce que vous signalez se révèle être une véritable simulation plutôt qu'une fausse alerte. La présence est délibérément exclue, parce que se présenter n'est pas une compétence, et qu'un score que l'on peut faire monter en se connectant ne voudrait rien dire.

Le score fait deux choses par lui-même :

• Il vous est montré, ainsi qu'aux administrateurs de votre organisation si vous appartenez à l'une d'elles.
• Il ajuste automatiquement la difficulté des exercices qui vous seront servis ensuite.

Il ne vous sanctionne pas automatiquement, ne restreint pas votre accès et ne vous signale à personne. Toute conséquence allant au-delà de la difficulté de votre prochaine arnaque simulée est une décision prise par une personne au sein de votre organisation, qui utilise le score comme un élément parmi d'autres. Un algorithme produit le nombre ; aucun algorithme n'agit sur celui-ci.

Si vous estimez que votre score est erroné ou injuste, écrivez à privacy@cyberbadger.ca, ou adressez-vous à votre administrateur. Une personne l'examinera. Nous vous dirons à partir de quoi le score a été calculé, et nous le corrigerons si les enregistrements sous-jacents sont erronés. Lorsqu'une décision fondée sur un traitement automatisé produit à votre égard un effet juridique ou un effet semblablement important, vous avez le droit de la contester et de demander l'intervention d'une personne.

8. Revendication de domaine, et comment un employeur obtient la visibilité d'un compte existant

Si une entreprise prouve qu'elle contrôle un domaine de courriel, en publiant un enregistrement DNS que nous vérifions, nous déplaçons les comptes existants sur ce domaine vers cette entreprise. À partir de ce moment, la formation de cette personne est visible pour les administrateurs de l'entreprise au même titre que celle de tout autre membre.

Ce que cette entreprise voit commence le jour où le compte a été déplacé. Les exercices que vous avez faits avant cela, y compris tout ce qui précède l'existence même du compte BadgerQuest de l'entreprise, ne leur sont pas montrés et ne sont comptés ni dans leurs rapports ni dans le score qu'ils voient de vous. Cela demeure dans votre dossier. C'est la même règle que pour tout autre membre (section 5), et elle est délibérée : une entreprise qui prouve le contrôle de son domaine a une bonne raison d'administrer le compte à partir de ce moment, et non une raison de se voir remettre un historique auquel elle n'a pris aucune part.

Cela se produit sans demander d'abord à la personne, parce que l'entreprise fait valoir le contrôle de son propre domaine. Nous croyons que c'est le résultat attendu pour une adresse professionnelle, et c'est ainsi que la plupart des outils de travail traitent un domaine vérifié, mais nous préférons le dire clairement plutôt que de vous le laisser découvrir.

Trois types de comptes ne sont jamais déplacés :

• Une personne qui appartient déjà à une autre organisation.
• Un compte du personnel de CyberBadger.
• Une personne qui paie son propre abonnement personnel.

Toute personne déplacée reçoit un courriel l'en informant. Personne n'est déplacé en silence. Si vous croyez que votre compte a été déplacé par erreur, écrivez à privacy@cyberbadger.ca et nous examinerons la situation.

9. Contacts d'affaires et notre pipeline de vente

Indépendamment du produit, nous conservons des renseignements sur des contacts d'affaires au sein d'organisations qui, selon nous, pourraient vouloir BadgerQuest, et qui ne se sont pas inscrites. Cela peut comprendre un nom, une adresse de courriel professionnelle, un titre de poste, un numéro de téléphone et des notes que nous prenons.

Nous nous fondons soit sur un consentement exprès, soit sur l'une des bases de consentement tacite reconnues par la Loi canadienne anti-pourriel, comme une adresse de courriel professionnelle publiée sans déclaration refusant de tels messages. Lorsque la base est tacite, elle expire, et nous consignons et respectons cette expiration. Les communications sont rédigées et envoyées par une personne, et non par un outil de campagne automatisé.

Ce pipeline possède sa propre liste de suppression, délibérément distincte de celle du produit, de sorte qu'une demande de cesser de vous contacter est honorée indépendamment de toute autre chose. Les dossiers qui ne deviennent jamais clients sont supprimés après 730 jours.

Pour savoir ce que nous détenons à votre sujet, ou pour être retiré, écrivez à privacy@cyberbadger.ca.

10. Comment nous utilisons vos renseignements

• Pour faire fonctionner le jeu et suivre votre progression.
• Pour fournir aux administrateurs de votre organisation les rapports décrits à la section 5, strictement limités à leur propre organisation.
• Pour envoyer les courriels de compte, de facturation et, lorsque votre employeur exige une formation, les rappels (section 11).
• Pour faire fonctionner les recommandations, les ligues, les attestations et les autres fonctions que vous utilisez.
• Pour sécuriser le service : limitation de débit, enquête sur les abus et journalisation d'audit.
• Pour répondre aux demandes de soutien et corriger les bogues que vous signalez.
• Pour satisfaire à nos obligations légales et fiscales.
• Pour faire fonctionner le pipeline de vente décrit à la section 9.

Nous n'utilisons pas vos renseignements personnels à des fins incompatibles avec celles-ci.

11. Le courriel, et ce que vous pouvez désactiver

• Les courriels de compte et de facturation (vérification, réinitialisation du mot de passe, reçus, échecs de paiement) ne peuvent pas être désactivés tant que votre compte est ouvert. Sans eux, nous ne pouvons pas faire fonctionner votre compte.
• Les courriels de formation exigée par l'employeur (rappels d'attribution et relances pour retard) peuvent être réduits aux seules relances finales, mais non réduits au silence. Votre employeur a exigé la formation ; il ne nous appartient pas d'y passer outre en votre nom.
• Les courriels d'engagement (rappels hebdomadaires, résumés mensuels et un mot de reprise de contact si vous devenez silencieux) sont véritablement facultatifs et un seul clic les désactive complètement.

Chaque courriel en dehors du palier compte et facturation comporte un désabonnement en un clic conforme à la norme RFC 8058, de sorte que votre fournisseur de messagerie peut offrir le désabonnement directement dans sa propre interface. Notre liste de suppression ne fait que se renforcer : une fois que vous vous êtes désinscrit à un niveau, rien ne recommence à vous en envoyer davantage.

Nous plafonnons aussi les courriels programmés à deux messages par période de sept jours et quatre par période de trente jours, les courriels de compte et de facturation étant exemptés parce qu'ils sont transactionnels.

12. Vos droits, et comment les exercer

Si vous avez un compte, vous pouvez faire ces deux choses vous-même, depuis les Réglages, sans demander à personne :

• Exporter vos données. Un seul fichier JSON contenant tout ce que nous détenons à votre sujet, y compris vos propres réponses aux questionnaires.
• Supprimer votre compte. Immédiat, et en cascade : historique de formation, appartenances, attestations, insignes, sessions et clés d'accès sont retirés. Toute facturation active est d'abord arrêtée.

Trois choses au sujet de la suppression méritent d'être connues :

• Le contenu que vous avez rédigé (si vous avez écrit du matériel de formation pour votre organisation) subsiste, le lien vers vous comme auteur étant retiré, de sorte qu'il ne s'agit plus d'un renseignement personnel.
• Si vous vous êtes désabonné des courriels, cet enregistrement subsiste à la suppression. Un désabonnement doit survivre au compte, sinon supprimer votre compte pourrait discrètement autoriser à nouveau des courriels vers vous plus tard.
• La suppression est bloquée dans un seul cas : vous êtes le dernier propriétaire d'une organisation qui compte encore des membres. Transférez la propriété d'abord, afin que l'organisation ne soit pas orpheline.

Vous avez aussi le droit de nous demander ce que nous détenons et pourquoi, de faire corriger des renseignements inexacts, et de savoir à qui nous les avons communiqués. Écrivez à privacy@cyberbadger.ca. Si votre compte provient d'un employeur, nous vous dirigerons habituellement vers votre administrateur d'abord, parce que c'est lui qui contrôle ces données, mais nous vous aiderons dans tous les cas.

13. Combien de temps nous conservons les choses

Ces délais sont appliqués par une tâche programmée, et non par bonne intention : les périodes ci-dessus sont lues directement dans le code qui effectue la suppression, de sorte que ce tableau ne peut pas s'écarter de ce qui se produit réellement.

Les attestations constituent l'exception délibérée. Elles demeurent vérifiables afin qu'une attestation présentée des années plus tard puisse encore être contrôlée, sauf si votre compte est supprimé, auquel cas elles sont retirées avec lui.

14. Où vos renseignements sont traités

Nous hébergeons l'application et la base de données chez Railway, aux États-Unis, et traitons les paiements avec Helcim, au Canada. Les renseignements personnels des utilisateurs canadiens sont donc traités à l'extérieur du Canada, dans un pays dont les tribunaux, les forces de l'ordre et les autorités de sécurité nationale peuvent être en mesure d'en exiger l'accès en vertu de leur propre droit. Le droit canadien de la vie privée nous oblige à le dire clairement, alors : si vous êtes au Canada, une partie de vos renseignements personnels quitte le pays.

15. Qui d'autre touche à vos données

Voilà la liste complète. Si elle change, ce tableau change, et les organisations clientes ayant une entente de traitement des données en sont avisées selon ce que cette entente exige.

16. Sécurité

• TLS en transit, avec HTTP Strict Transport Security préchargé.
• Une politique de sécurité du contenu stricte de même origine, avec un nonce cryptographique frais à chaque requête.
• Mots de passe hachés avec bcrypt au coût 12.
• Tout autre jeton porteur (clés d'API, invitations, liens de vérification) stocké uniquement sous forme d'empreinte SHA-256, jamais sous une forme que nous pourrions relire.
• L'ensemble de ce que nous stockons, base de données comprise, est en outre chiffré au repos au niveau du stockage par notre hébergeur (article 15).
• Secrets de double authentification, secrets client d'authentification unique, secrets de signature des webhooks et justificatifs du fournisseur de paiement chiffrés par l'application elle-même avec AES-256-GCM avant leur stockage. Codes de secours de double authentification stockés uniquement sous forme d'empreintes.
• Isolation par organisation appliquée sur le serveur à chaque lecture, et non simplement en masquant des éléments dans l'interface.
• Un journal d'audit des actions privilégiées.
• Protection contre la falsification de requête côté serveur pour chaque requête sortante vers une adresse configurée par un client.
• Limitation de débit appuyée sur la base de données pour les points d'accès de connexion, d'inscription, de réinitialisation de mot de passe, de double authentification et de clé d'accès, de sorte qu'un déploiement ne puisse pas réinitialiser le budget d'un attaquant.
• Authentification multifacteur, clés d'accès ou authentification unique, applicables à l'échelle d'une organisation à son choix.
• Examen contradictoire interne et périodique de notre propre code.

Nous ne détenons ni SOC 2, ni ISO 27001, ni aucune autre certification de sécurité délivrée par un tiers, et nous n'avons pas fait l'objet d'un test d'intrusion par un tiers. Si l'un ou l'autre devient vrai, nous le dirons ici. D'ici là, veuillez ne pas lire la liste ci-dessus comme laissant entendre l'un ou l'autre.

17. Si quelque chose tourne mal

Si nous subissons une atteinte aux mesures de sécurité qui crée un risque réel de préjudice grave pour vous, nous en aviserons le Commissariat à la protection de la vie privée du Canada et les personnes touchées, comme le droit canadien l'exige, et nous en conserverons les registres que la loi nous oblige à tenir. Si vous détenez un compte par l'intermédiaire d'une organisation, nous aviserons cette organisation sans retard indu afin qu'elle puisse satisfaire à ses propres obligations.

Au-delà de ce que la loi exige strictement, nous nous engageons à dire aux organisations et aux personnes touchées ce que nous savons dès que nous le savons, sans attendre la conclusion d'une enquête, et à le leur redire lorsque nous en saurons davantage.

18. Âge

BadgerQuest est conçu pour la formation en milieu de travail. Les comptes individuels exigent que vous ayez au moins 16 ans. Nous ne recueillons pas sciemment de renseignements personnels auprès de personnes de moins de 16 ans, et nous les supprimerons si nous apprenons l'avoir fait. Si vous croyez qu'un enfant nous a fourni des renseignements personnels, écrivez à privacy@cyberbadger.ca.

19. Résidents du Québec

La Loi sur la protection des renseignements personnels dans le secteur privé du Québec s'applique à vous en plus des droits ci-dessus. Cela comprend le droit d'être informé lorsqu'une décision est fondée exclusivement sur un traitement automatisé (la section 7 explique qu'aucune conséquence au-delà de la difficulté de votre prochaine arnaque simulée n'est automatisée), et le droit de recevoir sous une forme portable les renseignements que vous nous avez fournis, ce que notre exportation de données vous donne directement. Les demandes vont à privacy@cyberbadger.ca.

20. Résidents de la Californie

La California Consumer Privacy Act, telle que modifiée, confère aux résidents de la Californie des droits particuliers et exige la présente divulgation sous cette forme.

Catégories que nous recueillons : identifiants (nom, courriel, adresse IP), renseignements de compte et d'authentification, renseignements d'emploi (organisation, rôle, service), activité Internet et réseau (activité de formation et événements d'utilisation), et le contenu de vos communications si vous joignez le soutien. La section 2 donne le détail.

Sources : vous, votre organisation si elle vous a inscrit, et automatiquement à mesure que vous utilisez le service.

Fins : celles énoncées à la section 10.

Vente ou partage : nous ne vendons pas de renseignements personnels et nous ne les partageons pas à des fins de publicité comportementale intercontextuelle. Nous n'avons fait ni l'un ni l'autre au cours des douze derniers mois et n'avons pas l'intention de le faire.

Vos droits : savoir, supprimer, corriger, et ne pas être traité différemment pour avoir exercé l'un de ces droits. Vous pouvez faire les deux premiers vous-même (section 12) ou nous le demander. Un agent autorisé peut agir pour vous ; nous demanderons une preuve de son mandat.

21. Europe et Royaume-Uni

BadgerQuest n'est pas offert dans l'Espace économique européen ni au Royaume-Uni, et nous ne prétendons à aucune conformité au Règlement général sur la protection des données de l'Union européenne ou du Royaume-Uni. Il s'agit d'une position d'affaires plutôt que d'un blocage technique : rien n'empêche actuellement une organisation qui y est établie de s'inscrire.

Si vous êtes une organisation de l'EEE ou du Royaume-Uni et souhaitez y inscrire du personnel, communiquez avec legal@cyberbadger.ca avant de le faire. Il nous faudrait d'abord une entente de traitement des données intégrant des clauses contractuelles types.

22. Modifications

Nous pouvons mettre à jour la présente politique à mesure que le produit ou le droit évolue, et nous en publierons la nouvelle version ici avec une nouvelle date d'entrée en vigueur. Si une modification est importante, nous prendrons des mesures raisonnables pour vous en informer, par courriel ou dans le produit, avant qu'elle ne prenne effet.

23. Pour nous joindre

Questions, demandes ou plaintes : privacy@cyberbadger.ca. Autres questions juridiques : legal@cyberbadger.ca. Si vous êtes au Canada et que notre réponse ne vous satisfait pas, vous pouvez communiquer avec le Commissariat à la protection de la vie privée du Canada, et si vous êtes au Québec, avec la Commission d'accès à l'information.

Voir aussi notre Conditions d'utilisation.