Politique de confidentialité de F‑Secure Total

Le service interroge F‑Secure Security Cloud au sujet d’activités potentiellement malveillantes, de réseaux ou d’appareils protégés. F‑Secure Security Cloud est un système d’analyse des menaces basé dans le cloud et géré par F‑Secure. Il nous permet d’établir un panorama global et actuel de la cybersécurité en vue de protéger nos clients à l’instant même où les nouvelles menaces sont détectées. Si nous limitons le traitement des informations qui pourraient être considérées comme sensibles, nous collectons néanmoins un minimum de données sur les entreprises et les utilisateurs pour garantir une protection de haute qualité. Les données collectées peuvent contenir les éléments suivants :

• Les fichiers qui sont bloqués par F‑Secure pour des raisons de sécurité, ainsi que les métadonnées associées. Par exemple, les métadonnées incluent le hachage, le nom et le chemin d’accès des fichiers. Nous analysons et traitons les fichiers et les e‑mails dans un environnement sécurisé afin de Vous protéger contre tout contenu ou comportement malveillant. La collecte de ces données établit un panorama global de la cybersécurité qui nous permet de réagir rapidement face aux nouvelles menaces.

• Les adresses Web auxquelles Vous avez tenté d’accéder, mais qui ont été bloquées par F‑Secure pour des raisons de sécurité ou face à un comportement potentiellement malveillant, ainsi que les métadonnées associées. Par exemple, les métadonnées incluent les en-têtes de réponse. Le blocage d’un site peut être déclenché selon les préférences de protection sélectionnées et le contrôle parental défini. Les informations collectées nous permettent également de lutter contre le phishing et les attaques par ransomware.

Le VPN collecte également des informations sur les communications en ligne. Nous avons pour principe de ne pas analyser en détail le contenu de vos communications privées. Seul le trafic de vos communications est pris en compte afin de nous permettre de Vous fournir des services appropriés et de Vous offrir la possibilité de transférer vos données convenablement. En d’autres termes :

• Nous traitons certaines métadonnées associées à votre trafic (telles que le volume de communications, l’horodatage et les adresses IP) lorsque nous Vous fournissons le service.

• Nous recherchons les fichiers suspects ou dangereux, ainsi que leurs destinations (par exemple, des URL).

• Nous filtrons le trafic en fonction de l’accompagnement parental, lequel peut être activé dans l’application.

• Nous analysons automatiquement le trafic afin d’empêcher tout usage contraire à notre politique d’utilisation acceptable.

• Nous recueillons des données statistiques détaillées sur votre trafic pour Vous donner un aperçu de votre historique de navigation par l’intermédiaire du service, le tout en respectant votre anonymat.

Journalisation du fonctionnement des services : lorsque le service est activé ou qu’une licence est modifiée ultérieurement dans le cycle de vie, les données du journal de fonctionnement sont collectées dans le but de diagnostiquer le bon fonctionnement des services autorisés, de détecter les abus de service et en tant que précaution pour la reprise après sinistre en cas de besoin. Ce journal contient l’adresse IP du client, un ID de périphérique aléatoire généré par le service, l’heure d’accès, le code pays obtenu via une recherche géolocalisée de l’adresse IP du client et d’autres données techniques similaires sur les appareils.

Nous ne conservons aucun registre des connexions établies avec des adresses externes via le service VPN. D’autre part, nous ne sommes pas en mesure de lier votre navigation sur Internet à votre adresse IP.

Pour protéger le service contre toute utilisation frauduleuse, nous tenons des registres (journaux) temporaires qui indiquent la durée des sessions VPN, la quantité de données transférées, l’identifiant de l’appareil et l’adresse IP publique à partir de laquelle le client VPN se connecte. Les anomalies de trafic qui ressemblent à un possible usage illicite de notre service (tel que la numérisation de ports, le phishing ou des attaques DDoS) sont détectées par notre service et également consignées. Les journaux sont stockés pendant une durée maximale de 90 jours et peuvent être utilisés pour donner suite à toute utilisation abusive de notre service ou attaque perpétrée à notre encontre.

Les entrées du journal de fourniture du service VPN sont conservées pendant un an, avant d’être supprimées. Les événements du journal du service VPN pour les appareils approvisionnés sont conservés pendant trois mois, avant d’être supprimés.

Mes données collectent des statistiques sur les services par appareil ; par exemple, le nombre de fois où l’utilisateur a utilisé le service, ainsi que l’heure de création de la licence, le nombre de licences achetées et les types de services auxquels chaque utilisateur a souscrit, les appareils connectés au service, ainsi que les identificateurs uniques des appareils.

• Nous mettons à votre disposition un coffre de mots de passe chiffré.

• Nous surveillons les données de votre choix pour identifier les éventuelles violations ; et

• Nous Vous indiquons les données compromises et Vous expliquons comment gérer la situation pour limiter au maximum les incidences.

Mots de passe et autres informations personnelles stockées dans Mes données : vos mots de passe et autres données sensibles comme vos informations de carte de crédit/débit et vos notes personnelles sont stockés sur des serveurs hébergés par F‑Secure et localement sur les appareils clients dans un format chiffré. La clé de chiffrement est le mot de passe principal de l’utilisateur final, et ce dernier n’apparaît jamais en dehors du service sur votre appareil. Par ailleurs, il est impossible d’obtenir un fichier de mots de passe hébergé sans utiliser un client authentifié appartenant à l’utilisateur.

En résumé, sous leur format stocké, les fichiers hébergés par F‑Secure ne sont ni déchiffrables ni individualisables.

Les informations de compte F‑Secure ne sont liées à aucune des données de mots de passe gérées par le service.

Identificateurs personnels : lorsque l’identité de l’utilisateur du service est gérée par F‑Secure, nous Vous demandons les informations suivantes concernant les autres utilisateurs et Vous-même : nom, nom d’utilisateur, adresse e‑mail et numéro de téléphone.

Lorsque l’identité de l’utilisateur du service est gérée par un fournisseur de services partenaire, ce dernier peut nous communiquer ces mêmes informations (nom, adresse e‑mail et numéro de téléphone) ou d’autres identificateurs directement depuis ses systèmes, et ce dès votre abonnement à nos services.

• Nous gérons les identifiants que Vous souhaitez surveiller, Vous communiquons les résultats et les traitons tel que stipulé dans la présente politique.

• Nous Vous demandons de spécifier une adresse e‑mail et les autres identifiants dont Vous souhaitez surveiller l’intégrité. Vous pouvez également vérifier que les données des membres de votre famille ne font pas l’objet de violations, sous réserve d’avoir obtenu leur consentement préalable.

• Si Vous vérifiez une adresse e‑mail via l’outil en ligne, les résultats seront intégralement envoyés à cette adresse spécifique.

• Pour surveiller vos ressources plus efficacement, F‑Secure fait appel aux services d’un prestataire tiers chargé de détecter toute violation des données surveillées (par exemple, une adresse e‑mail) et de collecter les diverses informations qui s’y rapportent.

Lorsque Vous vérifiez une adresse e‑mail à la recherche d’éventuelles violations associées via l’outil en ligne, les résultats sont uniquement traités pendant le temps nécessaire à leur fourniture. Nous conservons les adresses e‑mail vérifiées pendant une durée strictement nécessaire en vue d’empêcher toute utilisation abusive de l’outil en ligne.

Si Vous avez souscrit le service par l’intermédiaire de l’un de nos fournisseurs de services partenaires, la suppression du compte est contrôlée par celui-ci. Lorsque le partenaire nous informe que votre abonnement a été résilié, nous supprimons par la suite le compte et effaçons ou rendons anonymes les données à caractère personnel associées.

La protection contre les fraudes par SMS examine les SMS reçus de la part d'un expéditeur inconnu (lorsque le numéro de l'expéditeur n'est pas enregistré dans vos contacts) et recueille les informations suivantes sur les SMS :

• Le contenu du SMS (par exemple, tout lien redirigeant vers du contenu dangereux).

• L'expéditeur du SMS.

• La région d'origine de la demande et la langue du SMS.

La fonctionnalité de protection contre les fraudes conserve les données à caractère personnel dans le seul but de déterminer si un SMS est frauduleux. Le verdict est établi à partir d'informations extraites du SMS, y compris les URL. Le SMS est rendu anonyme dans le mois qui suit le verdict. Les parties restantes des SMS qui ont reçu un verdict « sûr » ou « inconnu » sont supprimées dans un délai de 18 mois. Nous ne conservons que les données à caractère non personnel, par exemple le verdict et sa justification, ainsi que les SMS « malveillants » et quelques échantillons de SMS entièrement anonymisés, afin d'entraîner l'intelligence artificielle à mieux reconnaître les fraudes.

La fonctionnalité de protection contre les fraudes par SMS exploite l'intelligence artificielle (IA). Nous utilisons AWS Translate pour traduire les SMS qui ne sont pas rédigés en anglais, conformément à une politique de non-traçage. En d'autres termes, AWS ne conservera aucune de vos données à caractère personnel. Nous contrôlons entièrement toutes les autres fonctionnalités de l'IA, dont l'unique objectif consiste à identifier les SMS frauduleux.

La fonctionnalité de protection de Chrome pour Android Vous demande d'autoriser l'utilisation du service d'accessibilité et la superposition d'écran. Cette fonctionnalité Vous montre visuellement quelles pages sont sûres. Toutefois, elle ne collecte aucune donnée supplémentaire à votre sujet. Consultez la section « Données de sécurité » pour obtenir plus d'informations sur la protection de la navigation. Vous pouvez révoquer à tout moment l'autorisation d'utiliser le service d'accessibilité et la superposition d'écran sur votre appareil Android.

Nous avons besoin de collecter automatiquement et de traiter les données nécessaires au fonctionnement de nos services, afin de Vous les fournir et de les améliorer. Ces données sont traitées aux fins suivantes :

1. pour protéger les réseaux et les appareils des clients de F‑Secure ainsi que la confidentialité et la disponibilité des données qu’ils contiennent ;

2. pour permettre à F‑Secure de détecter des menaces émergentes et autres tendances relatives à la sécurité parmi ses clients, afin de permettre aux services F‑Secure de s’adapter à l’évolution des menaces ;

3. permettre à F‑Secure de fournir une infrastructure de sécurité centralisée sur plusieurs continents à un grand nombre de clients et de partenaires.

Le traitement des données par nos services est obligatoire afin de protéger efficacement les appareils et les réseaux. Il est également requis pour nous permettre de fournir les services souscrits par contrat. Le traitement des données étant indissociable des services fournis, celui-ci est donc valide et justifié.

Pour les produits grand public, ce droit s’exerce sous la forme de respect des obligations contractuelles. Dans certains cas, ce droit s’exerce sous la forme d’intérêt légitime et il peut également exister une obligation légale de traiter des données à des fins spécifiques.

Nous réutilisons également les données de service et de sécurité ci-dessus à des fins d’analyse. L’analyse des données fait partie intégrante de notre prestation de services, car le bon fonctionnement de la quasi-totalité des services de F‑Secure dépend de notre infrastructure. L’analyse des données nous permet d’adapter cette infrastructure afin de prendre en charge votre utilisation des services.

Lorsque nos services recueillent des données dans le seul but d’obtenir davantage d’informations sur la façon dont ils sont utilisés par nos clients — ces données ne revêtant alors aucun caractère essentiel à l’égard de leur prestation –, cette collecte intervient uniquement avec votre consentement préalable. Vous avez également la possibilité de le retirer plus tard, si Vous le souhaitez. La collecte de données strictement utiles aux fins d’analyse est fondée sur leur consentement explicite de la personne concernée.

Droit de retrait : nous apprécions particulièrement votre contribution à l’amélioration de nos services. Toutefois, si Vous souhaitez minimiser le trafic de données vers F‑Secure, nous respectons votre choix. Les services qui ont recours à des analyses supplémentaires Vous permettent de choisir si Vous souhaitez y contribuer ou non, et de désactiver la collecte ultérieure de données non critiques à la fourniture des services.

Si Vous n’avez pas opté pour la collecte de données analytiques supplémentaires, les communications que nous Vous adresserons seront uniquement basées sur la collecte des données de service (que nous collectons dans tous les cas afin de Vous fournir les services) et certains de nos messages seront probablement moins pertinents.

Outre les fondements principaux de la collecte de données, énoncés ci-dessus, nous pouvons également être amenés à utiliser et/ou à continuer à stocker des données i) afin de répondre à une obligation légale de traiter des données à des fins spécifiques, ou ii) sur la base de l’intérêt légitime. La section Autres divulgations propose une liste d’exemples de situations où ces justifications peuvent s’appliquer.

Nos activités d’analyse de données combinent les données d’analyse et les données de service. Ces jeux de données combinés continuent à être traités selon un intérêt légitime. Les données d’analyse précédemment collectées sont conservées dans le cadre des statistiques du service, car leur suppression rétroactive invaliderait les statistiques. Lorsque Vous résiliez votre inscription à nos services (c’est-à-dire quand votre compte est supprimé), les données d’analyse liées à votre utilisation du service seront anonymisées et ne pourront plus Vous être associées.

Nous nous réservons le droit de transférer ou de divulguer certaines de vos données à caractère personnel aux sociétés du groupe F‑Secure et à nos sous-traitants afin de nous permettre de créer les services.

Lorsque les données à caractère personnel de nos clients doivent être divulguées à nos sous-traitants (par exemple, pour résoudre un cas de demande d’assistance, l’envoyer à des partenaires logistiques en vue de la livraison du produit ou diffuser des e‑mails marketing de notre part), les contrats passés avec ceux-ci réclament qu’ils utilisent de telles informations uniquement dans le cadre de la fourniture de leurs services convenus. Nous exigeons en outre qu’ils observent scrupuleusement cette politique de confidentialité ainsi que la législation en vigueur.

F‑Secure opère à l’échelle internationale. Par conséquent, un certain nombre de nos filiales, sous-traitants, distributeurs et autres fournisseurs de services partenaires sont basés dans divers pays, y compris en dehors de l’Espace économique européen (EEE), pour assurer notre portée mondiale ainsi que la disponibilité de nos services. Selon l’étendue de vos interactions avec F‑Secure, vos informations personnelles sont susceptibles d’être stockées ou consultées dans différents pays. Les sites des filiales de F‑Secure sont indiqués sur les pages Web publiques de F‑Secure.

Lorsque nous transférons des données à caractère personnel dans d’autres juridictions, y compris en dehors de l’EEE, nous sécurisons lesdites données conformément aux exigences légales. Nous le ferons en imposant des garanties techniques et contractuelles appropriées aux sous-traitants et sociétés du groupe F‑Secure correspondants, par exemple, en utilisant des clauses de transfert de données approuvées par l’Union européenne. Le contenu de ces clauses est disponible ici.

En outre, F‑Secure se conforme au cadre de protection des données de l’Union européenne et des États-Unis (DPF) tel qu’il est défini par le département américain du Commerce. F‑Secure a certifié au département américain du Commerce qu’il adhère aux principes du DPF en ce qui concerne le traitement des données à caractère personnel transmises par l’Union européenne. En cas de conflit entre les termes de la présente politique de confidentialité et les principes du DPF, lesdits principes prévalent. Pour en savoir plus sur le programme du cadre de protection des données et consulter notre certification, accédez au site Web dédié au DPF.

Conformément au DPF, F‑Secure s’engage à soumettre les plaintes non résolues concernant notre traitement des données à caractère personnel reçues en vertu du cadre de protection à JAMS, un prestataire de services de règlement extrajudiciaire des litiges établi aux États-Unis. Si nous n’accusons pas réception en temps utile de votre plainte relative aux principes du DPF, ou si nous n’avons pas traité votre plainte relative aux principes du DPF de façon satisfaisante, consultez le site Web jamsadr.com/submit pour obtenir de plus amples informations ou déposer une plainte. Les services de JAMS sont gratuits. Si vous estimez que nous avons violé les principes du DPF et que votre plainte n’a pas été résolue par d’autres moyens, vous pouvez avoir recours à un arbitrage contraignant en suivant la procédure décrite sur le site Web du DPF. F‑Secure est soumise aux pouvoirs d’enquête et d’application de la loi de la Federal Trade Commission (FTC).

Nous ne procédons à des transferts de données mondiaux ou transfrontaliers que pour de bonnes raisons et après avoir dûment évalué les risques en matière de protection de la vie privée qui en découlent. Lorsque nous transférons vos données à caractère personnel à un tiers, nous restons responsables si elles sont traitées d’une manière incompatible avec les principes du DPF.

Nous stockons des données client plus sensibles en Finlande et au sein de l’Espace économique européen afin de les conserver sous notre contrôle exclusif.

Dans certains cas non couverts par la présente politique de confidentialité, l’utilisation ou la divulgation de données à caractère personnel peut être justifiée ou autorisée, ou nous pouvons être tenus par la législation applicable de divulguer les informations sans obtenir votre consentement préalable ou indépendamment de la fourniture de services.

Par exemple, F‑Secure respecte les mandats légaux, les décisions de justice des juridictions qui nous sont applicables et les autorités publiques, y compris pour répondre aux exigences en matière de sécurité nationale ou d’application de la loi.

De même, il peut exister d’autres circonstances où il existe un intérêt légitime et justifiable à la divulgation d’ensembles limités d’informations à un tiers. Il peut s’agir, par exemple, de situations où nous avons besoin de nous protéger contre toute responsabilité ou de prévenir une activité frauduleuse, où nous analysons votre usage de nos produits pour garantir leur bon fonctionnement ainsi que notre capacité à réagir en cas de mauvaises expériences, et où il est nécessaire de résoudre ou de minimiser un problème actuel, ou de répondre aux exigences légitimes d’assureurs ou d’agences réglementaires publiques. Toute action de ce type est effectuée conformément à la législation applicable.

Nous pouvons également être amenés à transférer vos données personnelles dans le cadre d’une transaction professionnelle, telle qu’une vente, une fusion, une création de filiale ou une restructuration de F‑Secure, où les informations sont transmises à la nouvelle entité en charge du contrôle des opérations habituelles. Le groupe F‑Secure divulgue et transfère les données en interne selon les besoins du modèle opérationnel en vigueur. Toutefois, nous limitons ces divulgations en interne aux sociétés, unités, équipes et personnes qui ont besoin de connaître ces informations afin de les traiter.

Nous évaluons soigneusement chaque demande de divulgation et prenons en compte la possibilité de ces demandes lorsque nous déterminons le lieu et le mode de stockage de vos données à caractère personnel.

Même si nous collectons la majorité des données mentionnées ci-dessus directement auprès de Vous ou de votre appareil, nous recevons également des données de nos affiliés, partenaires de distribution (par exemple, opérateurs et commerçants), et entités professionnelles auprès desquelles Vous avez acheté les services. Ces entités peuvent être nos distributeurs, ainsi que nos partenaires externes de commerce en ligne. Nous collectons également des informations à caractère personnel élémentaires (informations de commande) et agrégeons des données d’analyse à partir des magasins d’applications dans lesquels nos services sont vendus . Ces autres sources peuvent également inclure les sous-traitants qui Vous ont fourni des services de support ou nos partenaires publicitaires qui nous assistent dans nos activités marketing.

Cela nous permet de créer une expérience client transparente et de disposer des informations nécessaires pour résoudre les problèmes de support.

Voici quelques exemples typiques de ces sources tierces :

• informations sur vos achats réalisés sur notre boutique en ligne externe,

• collecte de vos coordonnées à partir des données de connexions précédentes de notre partenaire distributeur et opérateur Vous fournissant le service,

• coordonnées obtenues des registres professionnels à des fins de marketing, et

• si Vous utilisez votre compte de réseau social pour Vous inscrire à nos services, nous pourrons également collecter l’adresse e‑mail de votre compte afin d’authentifier votre inscription et de Vous contacter.

En raison de l’environnement technique (Internet, l’écosystème des boutiques d’applications et les réseaux sociaux), nous ne pouvons pas réaliser nous-mêmes l’intégralité de la collecte et de l’analyse des données. Nous devons échanger des données (tel que l’identifiant marketing Android et d’autres identifiants similaires) avec nos partenaires d’analyse et de marketing en ligne afin de mener à bien nos activités d’analyse et de marketing numérique. La grande majorité des données personnelles dont nous disposons n’est pas partagée avec des tiers.

Certains de nos sous-traitants assurant les services d’analyse peuvent également créer et publier des rapports d’agrégation sur les données collectées. Les statistiques et les rapports d’agrégation ne contiennent alors aucune donnée permettant de créer un lien avec une personne donnée.

Nos services sont fournis en collaboration avec nos partenaires, et nos services et sites Web peuvent intégrer ou interagir avec des services tiers. La présente déclaration de confidentialité s’applique aux données à caractère personnel uniquement tant que celles-ci sont sous le contrôle de F‑Secure. Si ces données sont traitées par d’autres entités à des fins qui leur sont propres, ladite entité est responsable du traitement justifié de vos données conformément à ses propres politiques, ainsi que du respect de vos droits en vertu des lois applicables relatives à la protection des données.

Les scénarios les plus fréquents sont les suivants :

• Boutique en ligne : notre boutique en ligne est en partie gérée par un distributeur tiers. Tandis que les données fournies au cours de la phase d’abonnement sont traitées conformément aux politiques F‑Secure, l’achat en tant que tel et les activités associées sont quant à eux soumis aux politiques des fournisseurs de notre boutique en ligne.

• Localisation d’appareils : lorsque Vous tentez de localiser votre appareil à l’aide de nos services, le fournisseur de cartes doit traiter les données géographiques connexes. À la date de la publication de cette politique, F‑Secure fait appel à Google Maps pour ses services de localisation d’appareils et ses fonctions de recherche. Les politiques de confidentialité propres à Google s’appliquent selon l’usage que Vous faites de ces fonctionnalités.

Définitions

Voici ce que signifient certaines références que nous faisons dans la présente politique.

Client et Vous font référence à toute personne concernée qui achète et utilise nos services, ou s’inscrit à cette fin, dont les appareils et le trafic sont protégés par nos services, ou pouvant nous avoir divulgué des informations l’identifiant personnellement. Ces dernières peuvent avoir été envoyées à travers l’utilisation de nos services ou sites Web, par téléphone, par e‑mail, via les formulaires d’inscription ou par d’autres moyens similaires.

L’expression données à caractère personnel désigne toute information sur des particuliers qui permet de les identifier eux-mêmes, leur famille ou les membres de leur foyer. Ces informations peuvent notamment inclure des noms, des adresses e‑mail et postales, des numéros de téléphone, des données de facturation et de compte, ainsi que d’autres renseignements plus techniques dont la nature pourrait permettre d’identifier votre appareil et Vous-même, avec les comportements respectifs.

Services fait référence aux services ou produits fabriqués ou distribués par F‑Secure, y compris les logiciels, solutions Web, outils et services d’assistance associés.

Le fournisseur de services partenaire désigne un tiers qui vend et distribue les produits F‑Secure, par exemple les fournisseurs de services mobiles et à haut débit, les banques et les compagnies d’assurance. Le produit F‑Secure peut être associé à la marque du fournisseur de services.

Site Web fait référence au site Web f-secure.com ou à tout autre site Web hébergé ou contrôlé par F‑Secure, y compris les sous-sites et les portails de services basés sur navigateur.

Modifications

La présente version de la politique clarifie, met à jour et remplace la version précédente. Pour maintenir à jour ce document, nous effectuerons également des ajouts et des modifications à l’avenir.

Nous publierons la nouvelle politique de confidentialité sur notre site Web ou tout autre point d’interaction où elle a déjà été mise à disposition. Si les modifications apportées sont notables, nous pourrons également Vous prévenir par d’autres moyens. Tout changement entrera en vigueur à compter de la date de publication de la politique de confidentialité révisée.