Extension Sorvek · Données et vie privée

L'extension navigateur Sorvek Discovery est un outil de sécurité réservé aux organisations clientes de Sorvek. Votre employeur ou votre organisation (l'« organisation ») décide de la déployer et choisit, volet par volet, ce qu'elle collecte.

Votre organisation est responsable des renseignements personnels traités par l'extension. Sorvek les traite pour son compte, selon le contrat qui les lie. Pour toute question sur l'usage que votre organisation fait de ces données, adressez-vous d'abord à son équipe TI.

Cette politique s'applique à l'extension sur Chrome, Edge, Firefox et les autres navigateurs basés sur Chromium, qu'elle soit installée par une politique de gestion des postes (Intune, GPO, Jamf) ou à la main.

Chaque volet dépend de la politique de votre organisation (section 6). Le tableau décrit ce qui part vers Sorvek quand un volet est actif, et ce qui reste sur votre poste.

Comme tout service web, les serveurs de Sorvek voient l'adresse IP de votre poste à chaque échange, notamment pour limiter le débit des requêtes. Elle n'est pas enregistrée avec les données de l'extension. Les journaux techniques du serveur web peuvent contenir l'adresse IP et l'adresse des requêtes.

L'aperçu conservé correspond aux 200 premiers caractères du message, après masquage sur votre poste. Un message de 200 caractères ou moins est donc conservé en entier, avec seulement les éléments masqués remplacés par un marqueur.

Masqués dans l'aperçu : les clés d'API et jetons courants reconnaissables à leur format (OpenAI, Anthropic, GitHub, Google Cloud, Stripe, Slack, GitLab, les identifiants Twilio, l'identifiant de clé d'accès AWS « AKIA… » et autres ; la clé secrète AWS qui l'accompagne n'est pas reconnue sous sa forme habituelle et peut rester lisible), les clés privées, la valeur d'un secret précédé d'un mot-clé comme « password= », les numéros de carte de crédit, de NAS, d'assurance sociale américaine, de compte bancaire canadien et d'IBAN valides lorsqu'ils sont écrits dans un format reconnu (par exemple, un NAS écrit en neuf chiffres collés ou un IBAN écrit par groupes de quatre n'est ni détecté ni masqué), le numéro d'assurance maladie du Québec accompagné de son contexte, et les motifs de sévérité élevée propres à votre organisation.

Détectés mais non masqués : les adresses courriel, les numéros de téléphone, certains numéros d'identification (dont le NEQ, le permis de conduire du Québec et des identifiants américains), les numéros qui ont la forme d'un NAS sans en être un, les extraits de code, les noms d'employés de votre organisation et les motifs de sévérité moyenne ou faible propres à votre organisation. Ces éléments restent lisibles dans l'aperçu.

Si le serveur détecte un secret qui aurait échappé au masquage, il remplace l'aperçu entier par une mention générique. La justification que vous saisissez (2 000 caractères au plus) est conservée telle quelle, sans masquage.

Aucun détecteur ne vise les renseignements de santé ou d'autres catégories sensibles en texte libre. Si vous en écrivez dans un message, dans une justification ou dans un nom de fichier, ils peuvent être conservés. Évitez d'en saisir dans les outils d'IA.

• Vos mots de passe de connexion ne quittent jamais votre navigateur et ne sont jamais conservés. La détection des connexions lit le champ seulement pour savoir s'il est vide. Si votre organisation active la vérification des mots de passe, l'extension compare aussi les saisies localement, dans le périmètre autorisé (section 2). Elle transmet les constats, jamais les mots de passe, la clé ou les empreintes de comparaison.
• Les champs masqués des consoles développeur : sur GitHub, Vercel, AWS, Google Cloud et Cloudflare, si votre organisation garde active la recherche de clés d'API (réglage actif par défaut), l'extension lit aussi, sur votre poste, les champs masqués des pages de réglages, où ces consoles affichent des clés et des secrets. Si une valeur a la forme d'une clé ou d'un jeton, un court extrait partiellement masqué peut être transmis (section 2). Depuis la version 0.31.1, la recherche de clés d'API ne lit rien sans le volet Visibilité SaaS et écarte, avant toute lecture, les champs qu'elle reconnaît comme ceux d'un formulaire de connexion, d'inscription ou de changement de mot de passe, y compris un mot de passe affiché avec le bouton « afficher ». Les versions antérieures pouvaient lire sur votre poste le mot de passe saisi dans ces formulaires, par exemple sur les pages de connexion de GitHub et de Cloudflare ; il ne pouvait être transmis, en tout ou en partie, que s'il avait la forme d'une clé ou se trouvait à moins de 15 caractères d'une clé détectée. Cette exclusion concerne la recherche de clés ; la vérification des mots de passe de Discovery 0.33.0 relève du réglage distinct décrit à la section 2.
• Les réponses des outils d'IA.
• Le contenu des fichiers et des images que vous ajoutez : il est analysé sur votre poste. Le texte que vous collez est aussi analysé sur votre poste, mais s'il fait partie d'un message envoyé à un outil d'IA, il suit les mêmes règles que ce message (section 2).
• Le contenu des pages que vous visitez, à l'exception de ce qui est décrit à la section 2 : le texte que vous envoyez aux outils d'IA, les extraits autour des secrets dans les consoles développeur, les noms de fichiers et l'adresse utilisée lors d'une connexion.
• Si l'inscription échoue (réseau ou serveur indisponible) alors que l'Analyse IA est cochée, un message que vous envoyez ensuite à un assistant IA intégré à une application (Gmail, Outlook, Google Docs, Microsoft 365, etc.) peut être transmis à Sorvek, qui le refuse sans l'enregistrer.

Votre organisation règle chacun des deux volets, Visibilité SaaS et Analyse IA, sur l'une de trois valeurs : au choix de l'employé, imposé ou désactivé.

La vérification des mots de passe est désactivée par défaut. Votre organisation décide de l'activer et choisit les personnes et les applications concernées. Elle doit informer ses employés de cet usage. Aucun module, écran ou accord supplémentaire n'est demandé dans l'extension. La comparaison au compte Microsoft ou Google est activée par défaut lorsque la fonction l'est ; votre organisation peut la désactiver. La recherche dans les fuites connues est une option séparée, désactivée par défaut. Sans saisie observée, notamment avec une clé d'accès ou une session SSO existante, le compte reste non vérifié. Cette fonction n'est pas prise en charge sur Firefox.

Sur un poste non géré : la page d'inscription présente les volets. Les volets au choix sont cochés par défaut. La connexion avec Microsoft confirme votre compte professionnel ; vous pouvez ensuite modifier vos choix avant de confirmer leur activation. Un volet imposé est normalement activé sans que vous puissiez le décocher ; sur un poste non géré, « Refuser tout » arrête toutefois la Visibilité SaaS, même imposée. « Refuser tout » arrête la collecte des volets au choix, mais pas la vérification des mots de passe si votre organisation l'active. Si votre organisation impose l'Analyse IA, ce que vous envoyez aux outils d'IA peut continuer d'être consigné.

Sur un poste géré par votre organisation (politique Intune, GPO ou Jamf) : l'extension s'inscrit seule avec l'adresse fournie par votre organisation, les deux volets sont activés selon sa politique et vous ne pouvez pas les refuser dans l'extension. Une notice décrivant la collecte s'affiche à l'inscription.

Règles de protection : une fois l'extension inscrite, les règles de votre organisation peuvent bloquer un envoi qui contient une donnée sensible, vous avertir ou masquer cette donnée, même si vous n'avez pas consenti à l'Analyse IA. Si ce volet n'est ni activé par vous ni imposé par votre organisation, rien n'est transmis à Sorvek au sujet de cet envoi. Avant l'inscription, l'extension bloque l'accès aux outils d'IA dédiés.

Changer d'avis : sur un poste non géré, le bouton « Ouvrir les paramètres » de l'extension rouvre la page d'inscription, où vous pouvez modifier vos choix ou tout refuser. Retirer votre consentement arrête la collecte des volets au choix, mais pas la vérification des mots de passe si votre organisation l'active. Si votre organisation impose l'Analyse IA, ce que vous envoyez aux outils d'IA peut continuer d'être consigné. Tant que l'extension reste installée, elle continue aussi de consulter la politique de votre organisation, ce qui met à jour la date de dernière activité et la version de l'extension. Désinstaller l'extension arrête la collecte à venir. Ni le retrait ni la désinstallation ne suppriment les données déjà transmises : pour cela, voir la section 11.

L'extension garde dans le stockage local du navigateur, sans chiffrement propre : son jeton d'installation, votre adresse courriel professionnelle, vos choix, la politique de votre organisation et une file des événements pas encore envoyés.

Quand l'envoi échoue, cette file peut contenir, pendant environ 7 jours, des aperçus de messages, des justifications, des noms de fichiers, l'adresse professionnelle utilisée lors d'une connexion et les adresses complètes de consoles avec leurs extraits de secret réduits. La copie brute des 4 096 premiers caractères, transmise pour la seconde analyse, n'est jamais mise dans cette file ; du texte du message lui-même, seul l'aperçu de 200 caractères peut s'y trouver. Le jeton d'installation est gardé sous forme hachée sur le serveur de Sorvek.

Pour la vérification des mots de passe, la clé et les empreintes de comparaison sont gardées séparément sur votre poste, y compris après un redémarrage. Elles ne sont pas accessibles aux pages web ni aux scripts de contenu. Les données locales concernées sont effacées à la désactivation de cette fonction ou lors d'un changement de compte ou d'autorisation, lorsque l'extension en est informée.

Si Sorvek est injoignable, la clé, les empreintes et la référence peuvent rester stockées sur votre poste. Elles ne sont pas utilisées lorsque la vérification est suspendue et restent soumises aux durées de conservation de la section 9. Après plus de 30 jours sans contact valide avec Sorvek, elles sont effacées au prochain contrôle ou réveil de l'extension, même si le serveur reste injoignable. Si le navigateur est fermé, cet effacement attend sa reprise. Aucune valeur de mot de passe n'est conservée.

Les données de l'extension sont transmises par HTTPS aux serveurs de Sorvek, hébergés sur Amazon Web Services dans la région Canada (Montréal, ca-central-1), où elles sont enregistrées.

L'extension communique avec les serveurs de Sorvek et, lors d'une connexion avec Microsoft, avec son service de connexion. Si votre organisation active la recherche de mots de passe dans les fuites connues, elle consulte aussi Pwned Passwords à l'adresse api.pwnedpasswords.com. Ce service reçoit les 5 premiers caractères hexadécimaux du SHA-1 du mot de passe et votre adresse IP, mais ni le mot de passe, ni votre courriel, ni cookie, ni adresse de page d'origine. L'extension demande une réponse remplie de valeurs supplémentaires et compare le reste de l'empreinte localement. Cette recherche n'est pas effectuée sur le mot de passe du compte Microsoft ou Google pris comme référence. Les données détenues par Sorvek peuvent ensuite être communiquées aux destinataires suivants :

• les utilisateurs de la console Sorvek de votre organisation, selon leur rôle (les aperçus de messages, les justifications et les demandes d'accès sont réservés aux administrateurs) ;
• les outils que votre organisation branche elle-même : son SIEM (sans aperçu de message ni texte de justification), ses canaux de notification comme Slack ou Teams (une demande d'accès y part avec votre adresse, la cible et votre justification), et les assistants IA qu'elle relie au serveur MCP de Sorvek, qui peuvent lire les aperçus et les justifications ;
• Anthropic, fournisseur de modèles d'IA dont les serveurs peuvent être situés hors du Canada, pour certaines fonctions de la console : le nom et le domaine des applications découvertes, pour les classer ; des compteurs agrégés et, si une personne ayant accès à la console les demande, le profil d'employés nommés avec leurs applications, pour l'assistant IA ; et, si votre organisation l'active, pour l'audit par IA : les adresses des employés qui ont envoyé le plus de messages sensibles, avec leur nombre, ainsi que des comptes découverts dans les applications (adresse, nom, poste, service, dernière activité), y compris ceux repérés par l'extension lors d'une connexion. Sorvek ne lui transmet ni les aperçus de messages ni les justifications.

À la fin du contrat, votre organisation peut demander la suppression de toutes ses données. Les sauvegardes du serveur peuvent contenir des données supprimées pendant un certain temps. Les copies transmises aux propres outils de votre organisation (SIEM, canaux de notification) relèvent d'elle.

• Transmission chiffrée par HTTPS.
• Masquage des secrets et de certains numéros sur votre poste, avant l'envoi de l'aperçu (section 3).
• Seconde analyse sur le serveur pour rattraper un secret que le masquage aurait manqué.
• Jeton d'installation propre à chaque poste, gardé haché sur le serveur et révocable par un administrateur.
• Accès à la console selon le rôle : comptes autorisés ou invités par votre organisation, et équipe de Sorvek pour le soutien et l'exploitation. Par défaut, une personne qui se connecte avec un compte Microsoft ou Google dont le courriel appartient au domaine de votre organisation peut aussi obtenir automatiquement, sans invitation, un accès de base (rôle utilisateur) : il inclut l'inventaire des applications et des comptes et les statistiques de l'extension, mais pas les données de l'extension propres à chaque employé (inventaire de son navigateur, méthode de connexion observée, journal des connexions, alertes qui le nomment), réservées aux administrateurs.

Selon la Loi 25 (Québec) et la LPRPDE, vous pouvez :

• Accès : obtenir les données vous concernant collectées par l'extension.
• Rectification : faire corriger une donnée inexacte.
• Suppression : demander la suppression de vos données.
• Portabilité : recevoir vos données dans un format technologique structuré et couramment utilisé.
• Retrait du consentement : pour les volets au choix, comme décrit à la section 6.

Adressez votre demande à votre organisation, qui est responsable de ces données, ou à Sorvek à l'adresse ci-dessous : nous la traiterons avec votre organisation et vous répondrons dans un délai de 30 jours.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une plainte auprès de la Commission d'accès à l'information du Québec (CAI) ou du Commissariat à la protection de la vie privée du Canada (CPVP).