Confiance, hébergement & sous-traitants

Où vos données sont hébergées

L'application et l'API de Relvato — y compris le point d'entrée d'ingestion des Web Vitals d'utilisateurs réels (RUM) — s'exécutent sur Vercel dans l'Union européenne (Francfort, région fra1). Le worker en arrière-plan qui exécute les moniteurs est hébergé sur Railway dans l'UE (Amsterdam). La base de données principale est Neon PostgreSQL aux États-Unis (AWS us-east-2, Ohio), où sont stockés les résultats et les mesures RUM agrégées, et les clés de chiffrement sont gérées avec AWS KMS (us-east-1). En bref : vos données sont traitées dans l'UE et stockées aux États-Unis, ce qui implique un transfert vers les États-Unis.

Données Web Vitals d'utilisateurs réels (RUM)

Le beacon RUM mesure des temps anonymes de Core Web Vitals (LCP, INP, CLS, ainsi que FCP et TTFB) à partir de chargements de page réels. Il est sans cookie et ne stocke aucune donnée personnelle : pas de noms, pas d'identifiants d'utilisateur et pas d'adresses IP (l'IP d'un visiteur n'est utilisée que de façon transitoire, en mémoire, pour la limitation de débit, et n'est jamais enregistrée). Les mesures sont agrégées par type de page approximatif (par exemple accueil ou produit) et appareil (mobile/ordinateur) en percentiles — jamais par visiteur individuel. Ces données sont reçues par Vercel dans l'UE (Francfort) et stockées dans Neon aux États-Unis (AWS us-east-2, Ohio).

Données du mode quarantaine

Quand vous mettez un site WordPress en quarantaine, l’extension Relvato signale ce qui y change pendant toute la quarantaine : chemins de fichiers avec leur taille et leur date de modification (jamais leur contenu), identifiants et rôles WordPress, le domaine de l’e-mail d’un administrateur (jamais l’adresse complète), les noms des tâches planifiées et la valeur de quelques réglages comme l’adresse du site. Ces données sont conservées avec le journal de quarantaine du site dans Neon, aux États-Unis (AWS us-east-2, Ohio), et supprimées quand le site est retiré.

Carte des services externes

Si vous activez Services externes dans le plugin WordPress de Relvato (version 1.50.0 et suivantes ; désactivé tant que vous ne l'activez pas), le plugin enregistre quels services externes chacun de vos plugins et thèmes contacte depuis votre serveur : le nom du dossier du plugin ou du thème et le nom d'hôte appelé — jamais l'adresse complète, ce qui a été envoyé ni ce qui a été reçu — avec le jour où chaque paire a été vue pour la première et la dernière fois. L'Exposure scan de Relvato lit la liste pour vous prévenir quand un plugin commence à contacter un nouveau service. La liste est conservée dans la base de données de votre site ; la copie que Relvato garde entre deux analyses est stockée avec l'exécution chez Neon aux États-Unis (AWS us-east-2, Ohio). La désactivation dans le plugin supprime la liste de votre site.

Données de Google Search Console et de Bing Webmaster Tools

Si vous connectez Google Search Console ou Bing Webmaster Tools à un site, Relvato lit les données de recherche de ce site avec l’accès en lecture seule que vous accordez lors de la connexion à Google ou à Microsoft. Nous conservons un jeton d’actualisation chiffré (AWS KMS) et uniquement des totaux quotidiens : clics, impressions et position moyenne par type de recherche, appareil et pays, le nombre de pages apparues dans les résultats, les pages dans l’index de Bing et le nombre d’erreurs d’exploration, ainsi que les adresses des sitemaps avec leur nombre d’URL et d’erreurs. Chaque exécution indique aussi les pages et les requêtes de recherche qui ont le plus reculé (au plus les 50 plus recherchées de chaque), conservées uniquement avec l’exécution tant que votre offre garde l’historique, et jusqu’à 50 de vos pages sont vérifiées avec l’outil d’inspection d’URL de Google, leurs derniers résultats étant conservés jusqu’à la déconnexion. Les données sont stockées dans Neon, aux États-Unis (AWS us-east-2, Ohio), conservées 16 mois, utilisées uniquement pour vous montrer les chiffres de votre propre site et vous alerter à leur sujet, et supprimées quand vous le déconnectez. Google et Microsoft sont la source de ces données, à votre demande, et non des sous-traitants. Avec le moniteur « Signes de piratage » activé, Relvato lit aussi les requêtes et pages les plus fréquentes du site (jusqu’à 1 000 de chaque, sur la dernière semaine) pour chercher le spam ajouté par un piratage, et ne garde que celles qui ressemblent à du spam, dans les résultats de cette exécution. L’utilisation par Relvato des informations reçues des API Google respecte le règlement sur les données utilisateur des services d’API Google (Google API Services User Data Policy), y compris les exigences d’utilisation limitée.

Sous-traitants

Relvato utilise les services tiers suivants pour fournir le produit. Chacun est régi par ses propres conditions de traitement des données.

Comment le bot de Relvato s'identifie

Chaque requête que le bot de surveillance de Relvato adresse au site d'un client est signée par des HTTP Message Signatures Ed25519 (Web Bot Auth) : un pare-feu peut ainsi vérifier qu'elle vient bien de nous, au lieu de se fier à un user agent. Notre configuration publiée — annuaire de clés, signatures et agent card — est notée par WebBotAuth.net, un vérificateur indépendant.

Voir le rapport en direct →

Ce qu'est le bot, et comment l'autoriser ou le bloquer →

Questions

Pour toute question sur le traitement des données ou un DPA, contactez-nous à contact@relvato.com.