Politique de confidentialité

1. Qui nous sommes

SlopGrade est exploité par Maxor Global LLC, société à responsabilité limitée du Delaware, 2915 Ogletown Road, #5188, Newark, DE 19713, USA. Site parent : maxor-global.com. Maxor Global LLC conçoit des plateformes de calcul déterministe. SlopGrade est un gate de sécurité CI : il vérifie chaque pull request et bloque les fuites de données cross-tenant et d'autres classes de vulnérabilités avant qu'elles n'atteignent votre branche principale. Il propose aussi un correcteur de qualité de texte déterministe et une API d'analyse de code.

• Confidentialité : privacy@slopgrade.ai
• Juridique : legal@slopgrade.ai
• Général : hello@slopgrade.ai
• Surfaces : slopgrade.ai (marketing), app.slopgrade.ai (app et tableau de bord CI), app.slopgrade.ai/api (API). https://api.slopgrade.ai est notre hôte de base de données et de connexion.

Maxor Global LLC est responsable du traitement des données personnelles traitées via SlopGrade. Maxor Technologies Inc (Québec) est une entité liée pour les services d'ingénierie au Canada ; elle n'exploite pas SlopGrade sauf contrat distinct.

2. Ce que nous traitons

• Données de compte : adresse email, identifiants de connexion et les champs de profil que vous remplissez (nom affiché, poste, image d'avatar). Si vous vous connectez avec GitHub, votre nom d'utilisateur et votre avatar GitHub.
• Le contenu que vous choisissez d'enregistrer dans l'app : textes notés et leur historique, documents de rédaction, messages au chat d'assistance, invitations d'équipe (l'email de la personne invitée), marque blanche, domaines surveillés et demandes de changement d'email.
• Données CI des dépôts que vous connectez : l'empreinte envoyée par l'Action GitHub et les résultats de chaque exécution (voir plus bas).
• Du code source, seulement par les deux voies optionnelles décrites plus bas : le deep scan du Firewall et la Deep Scan API.
• Données de facturation des paliers payants : identifiants client et abonnement Stripe, palier, statut et montants. La carte est saisie dans le formulaire de Stripe et n'atteint jamais nos serveurs.
• Données techniques : adresse IP (dans les registres de limite de débit et les journaux de nos hébergeurs), user agent du navigateur (dans les rapports d'erreur), horodatages et métadonnées de requête.
• Attribution d'inscription : paramètres utm_*, un code ref, l'hôte du site référent (jamais l'URL complète), votre première page d'arrivée et la méthode de connexion utilisée.
• Cookies et stockage du navigateur, listés dans la Politique cookies.

3. Bases légales (RGPD art. 6)

• Contrat (art. 6(1)(b)) — le compte, le gate CI, les notes, l'historique, l'API et les paliers payants que vous demandez.
• Intérêts légitimes (art. 6(1)(f)) — sécurité, prévention des abus et de la fraude, fiabilité du service, assistance. Vous pouvez vous y opposer.
• Obligation légale (art. 6(1)(c)) — fiscalité, comptabilité et demandes légales.
• Intérêts légitimes (art. 6(1)(f)) — mesure d'audience avec Plausible : pages vues et événements d'inscription et de paiement, comptés sans cookie et sans conserver d'adresse IP ni d'identifiant personnel. Ni publicité ni suivi inter-sites.

4. Connexion

Il n'y a pas de mot de passe. Vous vous connectez avec un lien ou un code à usage unique envoyé à votre adresse email, ou avec Se connecter avec GitHub. Avec GitHub, GitHub transmet votre identité GitHub (nom d'utilisateur, avatar, adresse email de votre compte GitHub) à notre service de connexion. Les emails de connexion sont envoyés par Resend.

5. Les textes que vous notez

• Correcteur web, connecté : nous conservons la note et le texte lui-même, jusqu'à 50 000 caractères, pour que vous puissiez le rouvrir dans votre historique. Le libellé d'historique est la première phrase du texte, jusqu'à 72 caractères, sauf si vous le renommez. Une note n'est publique que si votre réglage de partage la rend publique. Elle reste jusqu'à ce que vous la supprimiez ou fermiez le compte.
• API avec une clé : le texte est noté et non conservé, sauf si votre requête demande de l'enregistrer.
• MCP et notation par lot : la note est enregistrée dans votre historique si vous êtes connecté ou le demandez ; le texte n'est pas conservé.
• La note publique gratuite (sans compte, jusqu'à 2 000 caractères) n'est pas conservée.

La notation est déterministe : aucun modèle de langage ne lit votre texte pour le noter. Nous ne vendons pas vos textes et ne les utilisons pour entraîner aucun modèle.

6. Code source : deep scan du Firewall

Par défaut, l'Action GitHub analyse votre dépôt sur votre propre runner CI et nous envoie une empreinte structurelle, pas vos fichiers. L'empreinte contient des chemins de fichiers et numéros de ligne, les types de constats, les noms de tables et de colonnes de base de données utilisés par vos requêtes et vos politiques d'accès, la méthode de chaque requête et, pour les secrets, un score d'aléa (jamais le secret). Sur un dépôt payant, les packs de détecteurs fermés ajoutent de courtes valeurs de 200 caractères au plus, comme les noms des dépendances de vos manifestes.

Le deep scan est optionnel. Uniquement si un dépôt ajoute `deep-scan: "true"` à son workflow, l'Action envoie le code complet d'un ensemble borné de fichiers (80 au plus, 200 000 caractères chacun et 2 M au total) : les fichiers signalés par un détecteur local ou qui contiennent un appel sensible, en commençant par les fichiers modifiés par la pull request. Ils partent en TLS vers app.slopgrade.ai puis vers heisen-slop, notre moteur d'analyse, hébergé chez Railway. Seuls les dépôts payants sont analysés : un dépôt gratuit qui active l'option envoie quand même ces fichiers ; l'envoi est refusé sans être analysé et les fichiers sont jetés.

• Le code est traité en mémoire le temps de la requête. Il n'est ni stocké, ni journalisé, ni utilisé pour entraîner un modèle. Tant que le processus du moteur tourne, il peut garder en cache mémoire des expressions régulières tirées de votre code (jamais sur disque).
• Ce que nous gardons pour votre historique CI, c'est le constat : chemin du fichier, numéro de ligne, la classe de faiblesse (CWE), une explication d'une ligne et la courte expression de l'appel vulnérable (par exemple `subprocess.check_output() with shell=True`). En mode bibliothèque, nous gardons aussi jusqu'à 50 constats candidats avec les mêmes champs.
• Retirer l'option arrête tout envoi de code.

7. Code source : Deep Scan API (clés API)

La Deep Scan API (app.slopgrade.ai/api/deep-scan) reçoit les fichiers source que vous lui envoyez avec une clé API de portée `deepscan`, ou depuis une session connectée : 80 fichiers au plus, 200 000 caractères chacun et 2 M au total. Les fichiers vont au même moteur chez Railway et sont traités de la même façon : en mémoire, ni stockés, ni journalisés, ni utilisés pour entraîner un modèle. Nous renvoyons les constats et ne les conservons pas.

Nous gardons, par compte et par mois UTC, le nombre de fichiers et de requêtes. Si vous activez la facturation à l'usage, le nombre de fichiers facturés au-delà de votre allocation mensuelle est transmis à Stripe pour la facture.

8. Résultats CI et démo sur dépôt public

Quand un dépôt connecté exécute l'Action GitHub SlopGrade, nous conservons le résultat de chaque exécution pour votre historique CI : SHA du commit, le verdict passe ou bloque, les comptes par classe, la colonne tenant détectée par le gate, jusqu'à 20 fuites cross-tenant (chemin, ligne, table et méthode) et, sur un dépôt payant, tous les constats des packs de détecteurs (règle, emplacement, court détail, sévérité). Nous ne conservons jamais les fichiers eux-mêmes.

L'App GitHub SlopGrade lit les métadonnées du dépôt, les check runs, l'état des pull requests et le fichier de workflow SlopGrade (.github/workflows/slop-gate.yml) pour montrer s'il est à jour ; à votre demande, elle ouvre une pull request pour installer ou mettre à jour ce fichier.

La démo « scanner un dépôt public » sur slopgrade.ai ne fonctionne que sur des dépôts GitHub publics. Notre serveur télécharge la branche par défaut depuis GitHub, la décompresse en mémoire, écrit les fichiers de code dans un répertoire temporaire pour l'analyse et supprime ce répertoire à la fin. Le résultat est gardé en mémoire jusqu'à 10 minutes pour qu'une requête répétée soit rapide ; rien de la démo n'est écrit dans notre base. Votre adresse IP sert à la limite de débit de la démo.

9. Chat d'assistance

Les messages du chat d'assistance sont conservés dans notre base pour que la conversation puisse continuer. Quand l'assistant répond, nous envoyons vos 12 derniers messages (jusqu'à 4 000 caractères chacun), la page où vous êtes, votre palier et le libellé de votre dernière note, via notre passerelle d'assistant (hébergée chez Railway), à un modèle de langage de xAI. Les réponses peuvent rester en mémoire jusqu'à une heure. Notre équipe d'assistance utilise aussi un assistant interne sur le même modèle ; il peut recevoir des informations de compte, comme votre adresse email, quand elle traite votre demande.

10. Pourquoi nous le traitons

Pour faire tourner le gate CI et afficher ses résultats ; analyser le code que vous envoyez ; fournir les notes et cartes de partage ; offrir l'historique, l'export et l'assistance ; sécuriser le service et prévenir les abus ; facturer les paliers payants ; et améliorer le produit avec des métriques agrégées, sans contenu.

11. Sous-traitants

Ces prestataires traitent des données pour nous sous contrat, uniquement pour fournir leur service :

Nous ne vendons pas de données personnelles. Les clients professionnels peuvent demander un accord de traitement (DPA, avec les clauses contractuelles types de 2021) à privacy@slopgrade.ai.

12. Transferts internationaux

• L'exploitant et la plupart des sous-traitants sont aux États-Unis. Si vous êtes dans l'EEE, au Royaume-Uni ou en Suisse, vos données sont transférées aux États-Unis.
• Les transferts reposent sur les clauses contractuelles types (2021/914) des accords de traitement de nos sous-traitants.
• Le Canada bénéficie d'une décision d'adéquation de l'UE (LPRPDE) pour les organisations commerciales.

13. Vos droits

Selon votre lieu (RGPD, RGPD britannique, CCPA/CPRA, LPRPDE, Loi 25), vous pouvez demander accès, correction, suppression, export, limitation ou opposition. Écrivez à privacy@slopgrade.ai. Réponse visée sous 30 jours. Vous pouvez saisir une autorité (CNIL, ICO, CAI Québec, CPVP, ou votre autorité locale).

Vous pouvez supprimer votre compte vous-même depuis la page compte : nous vous envoyons un code par email, valable une heure. La suppression est immédiate dès que vous le saisissez. Vos abonnements prennent fin aussitôt, avec une dernière facture pour l'usage déjà consommé et sans remboursement, et vos notes, textes, clés, historique CI et autres données de compte sont supprimés. Nous gardons un registre de fermeture (identifiant de compte, adresse email, identifiant client Stripe) pour la comptabilité et la prévention des abus, le retour anonyme de fermeture si vous en donnez un, l'identifiant GitHub d'un compte qui a utilisé un essai gratuit, pour que l'essai ne soit accordé qu'une fois, et la trace de tout plan accordé ou retiré au compte par notre équipe (identifiant de compte, adresse email, plan avant et après, motif, date), qui est un journal d'audit. Stripe garde ses propres fiches client et factures.

14. Californie (CCPA / CPRA)

Les résidents de Californie peuvent connaître, supprimer et refuser la vente ou le partage de leurs informations personnelles. Maxor Global LLC ne vend pas d'informations personnelles et ne les partage pas pour de la publicité comportementale inter-contextes. Pour exercer vos droits : privacy@slopgrade.ai. Aucune discrimination pour l'exercice de ces droits.

15. Québec (Loi 25)

Les résidents du Québec sont protégés par la Loi 25. La personne responsable des renseignements personnels pour SlopGrade est joignable à privacy@slopgrade.ai. La déclaration d'incident à la CAI suit la loi applicable (dont le délai de 72 heures s'il s'applique). Nous n'affichons pas de bandeau de consentement parce que nous ne posons aucun cookie publicitaire ou analytique : le seul cookie posé par slopgrade.ai est NEXT_LOCALE (langue), et l'app pose uniquement les cookies nécessaires pour vous connecter et retenir votre langue. La Politique cookies les liste.

16. Conservation

• Données de compte et contenu que vous enregistrez (notes et textes, documents, messages d'assistance) : jusqu'à ce que vous les supprimiez ou fermiez le compte.
• Résultats CI : 13 mois, puis supprimés automatiquement ; plus tôt à la fermeture du compte.
• Registres de limite de débit, qui contiennent des adresses IP : environ un jour.
• Journaux d'hébergement, de base de données et d'erreurs : selon les réglages de conservation de nos prestataires.
• Données de facturation : jusqu'à 7 ans si la fiscalité l'exige.
• Registres de fermeture et traces des plans accordés par notre équipe : conservés 7 ans pour la comptabilité et l'audit, puis supprimés automatiquement. Le registre des essais gratuits (identifiant GitHub) : conservé 3 ans pour empêcher les essais répétés, puis supprimé automatiquement.

17. Sécurité

TLS en transit. Les clés API sont stockées sous forme de hachage, jamais en clair. L'accès aux systèmes de production est limité aux opérateurs qui en ont besoin. La connexion n'a pas de mot de passe à voler : un lien, un code à usage unique ou GitHub. Aucune mesure n'est parfaite. Signalez une vulnérabilité en privé via GitHub (github.com/maxor-tech/slopgrade-firewall/security) ou à security@maxor-global.com : accusé de réception sous 3 jours ouvrables et plan de correction sous 10 jours ouvrables pour un problème confirmé.

18. Enfants

SlopGrade ne s'adresse pas aux moins de 16 ans. Vous devez pouvoir contracter dans votre juridiction pour créer un compte (voir les Conditions — en général 18 ans). Ne créez pas de compte si vous n'avez pas l'âge du consentement numérique applicable.

19. Représentant UE (RGPD art. 27)

Maxor Global LLC n'a pas encore désigné de représentant UE au titre de l'article 27 (Art. 27). D'ici là, les personnes de l'EEE écrivent à privacy@slopgrade.ai. Nous publierons le représentant ici et dans le pied de page dès sa désignation. Nous n'inventons pas de nom pour paraître conformes.

20. Modifications

Nous pouvons mettre à jour cette politique. Les changements importants sont reflétés par la date de « Dernière mise à jour » et, si pertinent, un avis dans le produit.

21. Contact

Maxor Global LLC · 2915 Ogletown Road, #5188, Newark, DE 19713, USA · privacy@slopgrade.ai · maxor-global.com