Des réponses nettes aux questions sérieuses : ce qui est fait, ce qui ne l’est pas encore, et pourquoi.
Pour les clients, les partenaires, les investisseurs et les équipes qui valident les applications. Chaque mot technique a son sens simple entre parenthèses.
Nos conditions et notre politique de confidentialité sont encore des projets (voir « Vos textes juridiques sont-ils définitifs ? »). Cette page décrit ce qui est construit et tourne aujourd’hui.
Vie privée & RGPD
Big Cat respecte-t-il le RGPD ?
Big Cat est exploité depuis la France : le RGPD et la loi française (Loi Informatique et Libertés, CNIL) s’appliquent à tout ce que nous faisons, pour chaque utilisateur, où qu’il vive. En place aujourd’hui : un registre de chaque traitement (art. 30), une base légale pour chacun, un stockage dans l’UE, un contrat avec chaque prestataire, le téléchargement et la suppression dans le compte, et un plan écrit en cas de violation. Les écarts sont listés ouvertement sur cette page, avec leurs raisons : nous ne disons pas « entièrement conforme » tant qu’il en reste un.
Quelles données personnelles collectez-vous ?
Votre e-mail (et, avec la connexion Google, le nom et la photo envoyés par Google, que nous n’utilisons pas) ; ce que vous mettez sur votre site (nom de l’activité, textes, offres, coordonnées professionnelles, photos, les personnes que vous choisissez de montrer) ; le lien ou l’image du design que vous aimez ; le statut de votre plan et les références Stripe ; les factures (nom, e-mail, montant, date) ; les journaux techniques (adresse IP, heure, erreurs) 30 jours au plus. Aucun numéro de carte, aucune adresse IP dans notre base, aucune empreinte d’appareil, aucun profil d’audience.
Partagez-vous des données avec des tiers ?
Seulement avec les sous-traitants qui font tourner le service, chacun pour une tâche et sous contrat : l’IA (Anthropic), les paiements (Stripe), l’hébergement, la base de données, les e-mails et les sauvegardes (voir « Qui sont tous vos sous-traitants ? »). Il n’y a aucun partenaire de mesure d’audience ni de publicité. Les autorités ne reçoivent des données que lorsque la loi l’exige, par exemple une décision de justice ou un signalement d’abus sur enfant.
Vendez-vous mes données ?
Non, jamais, à personne. Notre seul revenu est votre abonnement. Nous ne louons aucune liste, ne partageons rien avec d’autres clients et n’utilisons rien pour de la publicité.
Big Cat est-il responsable de traitement ou sous-traitant ?
Les deux, pour des données différentes. Nous sommes responsable de traitement (nous décidons pourquoi et comment) pour votre compte, le contenu de votre site, les paiements, les journaux, les sauvegardes et la vérification de sécurité. Quand un client professionnel publie un site qui contient les données d’autres personnes (une page équipe, des témoignages, des photos), nous sommes son sous-traitant (nous l’hébergeons pour lui) et c’est lui le responsable.
Quelles sont vos bases légales ?
Le contrat (art. 6(1)(b)) pour votre compte, la création et l’hébergement de votre site, et les paiements. Les mesures précontractuelles que vous demandez pour le premier aperçu gratuit. L’obligation légale pour les factures (10 ans), les demandes liées à vos droits et les signalements aux autorités. L’intérêt légitime pour les journaux de sécurité, les sauvegardes et la vérification des contenus. Le consentement seulement pour la liste « Rester informé », que vous retirez en un clic.
Signez-vous un DPA (accord de sous-traitance) avec les clients professionnels ? Pas encore
Pas encore. Un DPA (accord de sous-traitance, RGPD art. 28) est nécessaire quand votre site contient les données d’autres personnes ; nos conditions n’ont pas encore cette clause, car elles sont encore des projets. Elle y est en cours de rédaction : chaque client professionnel l’aura en acceptant les conditions. De notre côté, nous avons déjà un DPA avec chacun de nos propres prestataires.
Comment exercer mes droits, et en combien de temps répondez-vous ?
Dans Mon compte, « Télécharger mes données » vous donne tout ce que nous détenons sur vous dans un fichier lisible par une machine (JSON), et « Supprimer mon compte » supprime tout 30 jours plus tard. Pour le reste (rectification, opposition, limitation, une question), écrivez à contact@bigcat.website : nous répondons sous un mois, le délai du RGPD (art. 12(3)). Vous pouvez aussi saisir la CNIL (cnil.fr).
Avez-vous un DPO (délégué à la protection des données) ?
Non, et la loi n’en exige pas (RGPD art. 37) : nous ne sommes pas un organisme public, et notre activité principale n’est ni le suivi de personnes à grande échelle ni le traitement de données sensibles à grande échelle. La fondatrice est le contact vie privée et répond elle-même à contact@bigcat.website.
Tenez-vous un registre des traitements ?
Oui. Notre registre (art. 30) suit le modèle de la CNIL et liste 12 traitements, plus celui que nous faisons comme sous-traitant, chacun avec sa finalité, sa base légale, ses données, ses prestataires, ses transferts, sa durée de conservation et ses mesures de sécurité. C’est un document interne ; nous le montrons à la CNIL sur demande.
Avez-vous fait une analyse d’impact (AIPD) ? Pas encore
Pas encore. Une AIPD (analyse d’impact relative à la protection des données, art. 35) est conseillée pour un traitement : la vérification de sécurité par IA, qui lit les mots et les photos de chaque site. Elle est en ligne depuis le 29 octobre 2026 ; son analyse d’impact est le prochain document vie privée que nous rédigeons, avec l’outil PIA gratuit de la CNIL.
Vos textes juridiques sont-ils définitifs ? Pas encore
Pas encore. Nos conditions et notre politique de confidentialité sont en ligne et disent exactement ce que fait le produit, mais elles sont marquées comme projets : le droit français de la consommation nous oblige à y nommer un médiateur, et notre adhésion est en cours. Une fois faite, nous publions une version numérotée, et nous enregistrons dès lors quelle version chaque personne a acceptée, et quand.
↑ Retour à la liste
Où sont vos données
Quels prestataires stockent mes données, et dans quelle région ?
Base de données, connexion et photos d’origine : Supabase, Francfort (eu-central-1). Sites publiés et sauvegardes : Cloudflare R2 avec le réglage « juridiction UE » (les données restent dans l’UE). Le code serveur de l’application : Vercel, Francfort (fra1). Les pages publiées passent par le réseau mondial de Cloudflare pour arriver vite chez les visiteurs lointains, mais elles sont stockées dans l’UE.
Qui sont tous vos sous-traitants ?
Supabase (base de données, connexion, fichiers), Vercel (fait tourner bigcat.website), Cloudflare (sites publiés, sauvegardes, DNS, transfert des e-mails), Anthropic (l’IA, Claude), Resend (e-mails, envoyés depuis l’Irlande), Stripe (paiements, via Stripe Payments Europe en Irlande), MailerLite (seulement la liste « Rester informé », une société européenne) et Google Web Risk (seulement l’adresse des liens, dès que sa clé est activée). Chacun est lié par un accord de sous-traitance. Un nouveau prestataire est ajouté à notre politique de confidentialité avant d’être utilisé.
Tous les traitements ont-ils lieu dans l’UE ?
Non, et nous disons où : ce que lit l’IA (Anthropic, États-Unis), les données d’envoi des e-mails (Resend, traitement principal aux États-Unis), l’adresse des liens (Google Web Risk, États-Unis), un accès éventuel du support de nos prestataires américains, et les traitements propres à Stripe. Notre propre stockage (base, fichiers, sauvegardes) reste dans l’UE. Chaque transfert est couvert par les clauses contractuelles types de l’UE (CCT, le contrat modèle de la Commission, 2021/914) ; Vercel, Cloudflare, Resend et Stripe sont aussi certifiés au cadre de protection des données UE–États-Unis (DPF). Le Tribunal de l’UE a confirmé le DPF en septembre 2025 et un pourvoi est en cours ; s’il tombait, les CCT continueraient de couvrir les transferts.
Mes données sont-elles chiffrées pendant le transport ?
Oui. Tout passe uniquement en HTTPS (TLS), sur bigcat.website et sur chaque site publié, avec des certificats gérés par Vercel et Cloudflare. HSTS (un en-tête qui interdit au navigateur le HTTP non chiffré) est réglé à 2 ans sur bigcat.website et à 1 an sur les sites publiés, sous-domaines compris. Les échanges entre nos serveurs et nos prestataires passent aussi en HTTPS.
Mes données sont-elles chiffrées au repos ?
Oui. Supabase chiffre ses bases et ses fichiers au repos (AES-256), et Cloudflare R2 chiffre chaque objet stocké. Nos sauvegardes ont en plus notre propre verrou : chaque fichier est chiffré en AES-256-GCM, et cette clé est verrouillée par une clé publique RSA de 4 096 bits. La clé privée n’existe que dans le gestionnaire de mots de passe de la fondatrice, jamais sur un serveur : un fichier de sauvegarde volé est illisible.
Que collecte Big Cat sur les visiteurs de mon site ?
Rien dans notre base de données. Les sites publiés ne posent aucun cookie et n’ont aucun traceur. Une case e-mail sur votre site envoie directement à votre propre outil (Mailchimp, Kit) ou ouvre sa page d’inscription, et les boutons « Acheter » sont de simples liens vers votre service de paiement : ces données ne passent jamais par Big Cat. Seuls existent les journaux techniques standard de Cloudflare (adresse IP, heure, page), qui s’effacent d’eux-mêmes.
↑ Retour à la liste
IA & propriété intellectuelle
Quelle IA utilisez-vous ?
Claude, créé par Anthropic, via son API payante, sous les conditions commerciales d’Anthropic. Claude Sonnet écrit et met en page vos pages et fait tourner le chat designer ; Claude Haiku fait la vérification de sécurité. Nous n’avons aucun modèle d’IA à nous et n’en entraînons ni n’en ajustons aucun. Ce qui est à nous, c’est le moteur de design autour : du code simple, sans IA, qui mesure le design que vous aimez (proportions, typographie, couleurs), compose la page et fait tous les contrôles.
Le règlement européen sur l’IA (AI Act) s’applique-t-il à Big Cat ?
Oui, de façon légère. Anthropic est le fournisseur du modèle à usage général (Claude) ; Big Cat construit un système d’IA dessus via l’API. Créer des sites n’est pas un usage à haut risque (il n’est pas dans l’annexe III du règlement), donc nos obligations sont les règles de transparence de l’art. 50, applicables depuis le 2 août 2026 : les gens doivent savoir qu’ils ont affaire à une IA, et les contenus générés par IA doivent être identifiables. Ce que nous faisons aujourd’hui est dans les réponses suivantes ; le marquage lisible par machine des contenus d’IA n’est pas encore construit.
Qu’est-ce qui est envoyé à l’IA, exactement, et quand ?
Premier aperçu gratuit, avant l’inscription : le nom de votre activité, votre description, les mots de votre propre page web si vous collez son lien, et une image du design que vous aimez ; pas vos propres photos. Dans votre compte, seulement quand l’aide IA est activée : les mots de votre site et ce que vous demandez au chat designer. La vérification de sécurité : les mots de votre site, les photos que vous ajoutez et la destination de vos liens. Jamais envoyés : votre mot de passe, vos données de paiement, les données de vos visiteurs.
Mes données servent-elles à entraîner une IA ?
Non. Selon les conditions commerciales d’Anthropic et son accord de sous-traitance, Anthropic travaille pour nous comme sous-traitant et ne peut pas entraîner ses modèles sur ce que nous envoyons. Big Cat n’entraîne aucun modèle non plus. Nous ne vendons aucune donnée et n’en partageons aucune avec d’autres clients.
Combien de temps le fournisseur d’IA garde-t-il ce qu’il lit ?
Anthropic supprime nos envois et ses réponses sous 30 jours. La seule exception est la sienne : un contenu signalé comme contraire à sa politique d’utilisation peut être gardé jusqu’à 2 ans. De notre côté, le premier aperçu gratuit et la conversation avec le chat designer ne sont pas stockés du tout (la conversation reste dans votre navigateur) ; nous gardons seulement le nombre de messages d’essai, jamais leur contenu.
Puis-je couper l’IA ?
Oui. « Aide IA » est un interrupteur dans Mon compte, réglé par le propriétaire du compte et vérifié par le serveur avant chaque réponse de l’IA dans votre compte. Quand il est coupé, aucun de vos mots ni aucune demande ne part à l’IA ; vous modifiez tout vous-même. Votre choix est enregistré avec sa date, comme preuve du consentement (RGPD art. 7(1)).
Y a-t-il une exception à l’interrupteur IA ?
Une seule : la vérification de sécurité tourne toujours, même aide IA coupée, car rien n’est publié ni ne reste en ligne sans elle. Elle lit vos mots et vos photos uniquement pour les comparer à la loi et à nos conditions, et sa réponse est un verdict (autoriser, mettre en attente ou bloquer), jamais une modification de votre site.
Une personne relit-elle les décisions de l’IA ?
Oui. Tout ce dont l’IA n’est pas sûre est mis en attente, et une personne chez Big Cat décide avant toute mise en ligne. Les infractions nettes sont bloquées automatiquement, et vous pouvez toujours demander qu’une personne réexamine la décision. Fermer un compte ou faire un signalement aux autorités est toujours la décision d’une personne, jamais de l’IA.
Les résultats de l’IA sont-ils signalés comme tels ? Pas encore
Par écrit, oui : la conversation avec le chat designer indique que vos messages vont à notre IA, et nos conditions disent clairement que le chat designer est une IA (Claude) et que les textes que Big Cat écrit pour vous sont écrits avec l’IA. Pas encore : une marque lisible par machine dans les fichiers générés (art. 50(2)). Les photos de votre site sont les vôtres ou de vraies photos sous licence, pas des images d’IA.
À qui appartient le site que fait Big Cat ?
À vous : nos conditions disent « votre site est à vous », et vos propres textes et photos restent les vôtres. Nous les utilisons seulement pour créer, héberger et montrer votre site. Un point juridique, honnêtement : en droit de l’UE, le droit d’auteur protège des choix créatifs humains ; un texte produit par la seule IA peut donc ne pas être protégé, alors que vos propres mots, choix et modifications le sont.
Comment évitez-vous la contrefaçon ?
Un design que vous aimez nous donne seulement sa « vibe » et ses proportions, jamais ses textes, ses images, son logo, ses polices exactes ni sa mise en page exacte, même sur demande. Les polices sont des familles sous licence libre (SIL Open Font Licence), servies avec leur fichier de licence ; les photos de la bibliothèque viennent d’Unsplash et les films de Pexels, sous leurs licences gratuites, chacun noté avec sa source. Vous confirmez détenir les droits sur ce que vous ajoutez, et chacun peut signaler une copie sur /report.
L’IA peut-elle publier, ou agir, seule ?
Non. L’IA propose ; elle n’a aucune clé et n’exécute aucun code. Un site n’est publié qu’après des contrôles fixes, sans IA : vous avez approuvé cette version précise (identifiée par son empreinte), elle respecte le schéma attendu, chaque photo est validée, la vérification de sécurité est passée, et les règles de publication portent la signature numérique de la fondatrice (ed25519). Les mots et les photos sont transmis à l’IA comme des données, jamais comme des instructions, ce qui limite l’injection de prompt (des ordres cachés dans un contenu).
↑ Retour à la liste
Autres règles européennes et françaises
Les règles sur les cookies (ePrivacy) s’appliquent-elles ? Pourquoi pas de bandeau ?
Oui (directive ePrivacy, art. 82 de la loi Informatique et Libertés). Nous utilisons deux cookies, tous deux exemptés de consentement par les règles de la CNIL, donc pas de bandeau : le cookie de connexion et bc_lang, qui retient votre langue pendant un an (la CNIL exempte le choix de langue fait par le visiteur). Aucune mesure d’audience, aucune publicité, aucun pixel de suivi, ni sur bigcat.website ni sur les sites que nous hébergeons pour vous.
Le règlement sur les services numériques (DSA) s’applique-t-il ?
Oui : nous hébergeons les sites de nos clients, Big Cat est donc un service d’hébergement. Cela nous donne le régime de responsabilité de l’hébergeur (art. 6) et ses obligations : un point de contact, des conditions claires, un formulaire de signalement (art. 16), un exposé des motifs pour chaque décision (art. 17) et le signalement des infractions qui menacent la vie ou la sécurité (art. 18). En tant que micro-entreprise, nous sommes exemptés des obligations supplémentaires des plateformes en ligne (art. 19) et des rapports de transparence (art. 15(2)).
Le règlement sur les marchés numériques (DMA) s’applique-t-il ?
Non. Le DMA ne s’applique qu’aux « contrôleurs d’accès », de très grandes plateformes désignées par la Commission européenne. Big Cat en est très loin.
Quelles règles de consommation suivez-vous ? Pas encore
Le droit français de la consommation, pour toute personne qui achète à titre privé : un essai gratuit de 7 jours sans carte ; 14 jours pour changer d’avis après le paiement, avec le remboursement des jours non utilisés ; des prix affichés en entier ; une résiliation en ligne, aussi simple que l’inscription (la loi française l’exige), via l’espace client Stripe dans Mon compte. Pas encore : le nom de notre médiateur de la consommation, car notre adhésion (CM2C) est en cours. Les plans payants ouvrent une fois l’adhésion faite et le médiateur nommé dans les conditions.
L’acte européen sur l’accessibilité s’applique-t-il ?
Pas à Big Cat aujourd’hui : l’acte (en vigueur depuis le 28 juin 2025) exempte les micro-entreprises qui fournissent des services, et Big Cat en est une. Nous construisons quand même dans ce sens : de vrais titres, un texte de 16 px au moins, des zones de 44 px à toucher, le focus clavier, un texte de remplacement sur les photos des sites. Nous n’avons pas eu d’audit WCAG formel (la norme d’accessibilité). Votre propre site peut y être soumis si votre entreprise est plus grande.
Big Cat entre-t-il dans le champ de NIS2 ?
Non. La directive NIS2 (obligations de cybersécurité des entités essentielles et importantes) vise les moyennes et grandes organisations de secteurs listés, plus quelques services nommés comme le DNS et les services de confiance. Une micro-entreprise d’une personne qui crée des sites est sous son seuil de taille. Nous en appliquons quand même l’esprit : mesures de risque, plan d’incident, sécurité des prestataires.
Et la LCEN et les mentions légales ?
La LCEN (loi pour la confiance dans l’économie numérique) impose des mentions légales : les nôtres nomment l’éditeur, la directrice de la publication, le contact et nos hébergeurs (Vercel, Cloudflare, Supabase), et chaque page y mène. En tant qu’hébergeur au sens de l’art. 6 de la LCEN, nous agissons promptement sur un contenu illégal qui nous est signalé. Chaque site que nous publions porte aussi sa propre page légale.
↑ Retour à la liste
Qui peut voir vos données
Qui, chez Big Cat, peut voir mes données ?
Une personne : la fondatrice. Big Cat est une entreprise individuelle française, sans équipe ayant accès à la base, sans prestataire extérieur et sans support sous-traité. Elle ne regarde un contenu que lorsque c’est nécessaire : un élément en attente sur la liste de vérification, un signalement, ou votre propre demande.
Comment les comptes sont-ils cloisonnés ?
Par la sécurité au niveau des lignes (RLS, une règle dans la base qui filtre chaque ligne selon qui demande), activée sur chaque table. Chaque requête tourne en votre nom : vous ne voyez jamais que vos espaces, vos sites, vos photos et vos réglages, et retirer quelqu’un d’un espace prend effet immédiatement. Nos tests font tourner les vraies migrations de la base et vérifient qu’un compte ne peut ni lire ni modifier les données d’un autre.
Et les clés d’administration et les rôles serveur ?
Le moindre privilège : chaque tâche serveur se connecte avec son propre rôle (worker, publisher, owner), et aucun ne peut contourner la sécurité au niveau des lignes. Seul le rôle publisher peut mettre une version en ligne, et il n’écrit que le pointeur « en ligne ». La clé service role (la clé d’accès complet de Supabase) reste sur le serveur, pour les sauvegardes, les suppressions après 30 jours et les traces de la vérification ; elle n’arrive jamais dans un navigateur.
Qui peut ouvrir la page de vérification de sécurité ?
Seules les adresses e-mail d’une liste gardée sur le serveur (vide par défaut, donc personne), connectées avec un e-mail confirmé. Tout autre visiteur reçoit « page introuvable » : la page n’admet même pas qu’elle existe. Une photo en attente s’affiche floue jusqu’à ce que la personne choisisse de la voir ; une image soupçonnée d’abus sur enfant ne s’affiche jamais.
La double authentification est-elle activée sur vos comptes d’administration ? Pas encore
Pas encore confirmée pour tous. Notre propre liste exige la double authentification (une application d’authentification ou une clé d’accès, pas de SMS) sur chaque compte qui mène à vos données : e-mail, Supabase, Vercel, Cloudflare, GitHub, Stripe, Anthropic et le registraire du domaine. Tant que chaque case n’est pas cochée et vérifiée, nous ne l’affirmons pas.
Tenez-vous un journal d’audit ?
Oui. Les actions sensibles (suppression de compte, publication, freins d’urgence) sont écrites dans un journal en ajout seul : un déclencheur de la base refuse toute modification ou suppression d’une ligne, même par nous. Les acceptations des conditions et les choix d’aide IA sont gardés de la même façon, dans leur propre registre en ajout seul. Il garde un identifiant de compte, l’action et l’heure ; aucune adresse IP, aucun détail d’appareil. Une limite : le travail direct de la fondatrice dans le tableau de bord Supabase est enregistré par Supabase, pas dans ce journal.
↑ Retour à la liste
Connexion
Comment se connecte-t-on ?
Trois façons, toutes gérées par Supabase Auth : un code à 6 chiffres ou un lien à usage unique par e-mail (sans mot de passe), « Continuer avec Google » (OAuth), ou un mot de passe que vous choisissez de créer dans Mon compte. Le lien par e-mail utilise PKCE (il ne marche que dans le navigateur qui l’a demandé).
Comment les mots de passe sont-ils stockés ?
Seulement sous forme de hachage (un brouillage à sens unique, bcrypt), stocké par Supabase Auth. Personne, Big Cat compris, ne peut lire votre mot de passe. Le code de Big Cat ne le reçoit jamais.
Bloquez-vous les mots de passe déjà vus dans des fuites ? Pas encore
Pas encore. Supabase propose une protection contre les mots de passe divulgués (il refuse ceux présents dans la base Have I Been Pwned) ; elle n’a pas été activée quand le mot de passe facultatif a été ajouté. L’activer est un seul réglage, et il est sur notre liste. La plupart des gens se connectent avec le code par e-mail et n’ont aucun mot de passe.
Comment les sessions sont-elles gérées ?
Chaque connexion crée de nouveaux jetons ; Supabase utilise des jetons d’accès de courte durée et des jetons de renouvellement à usage unique. Le cookie de session est limité à bigcat.website et SameSite=Lax (il n’accompagne pas les requêtes lancées par d’autres sites). Se déconnecter ferme vos sessions sur tous vos appareils. Les sites publiés vivent sur un domaine séparé, bigcatwebsite.com : ils ne peuvent jamais lire ni poser de cookie sur bigcat.website.
Comment arrêtez-vous les robots ? Pas encore
Le premier aperçu gratuit par IA est protégé par Vercel BotID (un contrôle invisible qui vérifie qu’un vrai navigateur appelle) et par des limites par visiteur. Pour les e-mails de connexion, un contrôle Cloudflare Turnstile est construit et attend que sa clé soit activée ; d’ici là, les limites d’envoi d’e-mails de Supabase s’appliquent. Turnstile est invisible pour la plupart des gens et n’affiche une petite case que lorsque Cloudflare a un doute.
Puis-je ajouter une double authentification à mon compte Big Cat ? Pas encore
Pas encore. La connexion par défaut est un code à usage unique envoyé dans votre boîte : il faut détenir votre e-mail pour entrer ; votre compte e-mail est donc la clé, et nous vous conseillons d’y activer la double authentification. Un facteur en plus pour les comptes Big Cat (une application d’authentification) est possible avec Supabase et compte surtout pour ceux qui ajoutent un mot de passe ; il n’est pas encore construit.
↑ Retour à la liste
Sécurité de l’application
Que peut exécuter un site publié ?
Aucun JavaScript. Les sites publiés sont du HTML et du CSS statiques, servis avec une CSP default-src none : aucun script, aucun code tiers, aucun cookie, aucun traceur. Les formulaires ne peuvent envoyer qu’à une adresse e-mail ou à votre propre outil d’e-mailing. Ce qu’écrit l’IA n’est jamais exécuté, ce qui supprime des familles entières d’attaques (injection de scripts, paquets malveillants).
Comment empêchez-vous la falsification de requêtes (CSRF) ?
Chaque route d’API qui modifie quelque chose ou coûte de l’argent commence par un contrôle de même origine : elle n’accepte que les requêtes que le navigateur indique comme venant de bigcat.website (Sec-Fetch-Site, ou une origine identique) et répond 403 à tout le reste, avant même de lire la requête. Les actions serveur utilisent le contrôle d’origine intégré à Next.js. Un test échoue si une nouvelle route oublie ce contrôle.
Limitez-vous le débit des requêtes ?
Oui. Le premier aperçu gratuit a des limites par visiteur, par minute et par jour (un visiteur IPv6 compte pour tout son bloc /64), comptées en mémoire et jamais stockées. Le chat designer permet 12 messages par 10 minutes et 80 par jour et par personne, avec un plafond quotidien pour tout le service ; l’essai compte 30 messages au total. Le formulaire de signalement est freiné dans la base de données, et un plafond de dépenses sur notre compte IA est la limite ferme derrière tout cela.
Que faites-vous des liens que les gens collent ?
Notre outil de lecture est protégé contre la SSRF (falsification de requêtes côté serveur : pousser notre serveur à joindre des systèmes privés) : HTTPS et ports standard seulement, aucun identifiant dans l’adresse, chaque réponse DNS vérifiée au moment de la connexion contre les adresses privées et internes, 3 redirections au plus avec une nouvelle vérification à chaque étape, un délai unique de 8 secondes et une taille maximale. Rien de ce qui est lu n’est stocké.
Que deviennent les photos que j’ajoute ?
Elles arrivent dans un dossier de stockage privé que vous seul pouvez ouvrir. Avant qu’une photo puisse apparaître sur un site, le serveur vérifie que c’est une vraie image (pas seulement son nom de fichier), limite sa taille (10 Mo, 40 mégapixels), la remet droite, supprime toutes ses métadonnées cachées (EXIF : position GPS, appareil, dates) et la réenregistre en un fichier WEBP neuf. Seule cette copie propre est publiée ; l’original ne devient jamais public.
Comment gérez-vous les secrets et les clés ?
Côté serveur seulement : variables d’environnement Vercel, coffre Supabase Vault (le secret du webhook Stripe, le jeton des sauvegardes) et secrets des fonctions Supabase. Aucune clé dans le code, le navigateur, un e-mail ou une conversation, et seule la fondatrice les détient. Notre outil d’analyse cherche des clés dans le code et son historique git, et le plan en cas de violation prévoit leur remplacement pour chaque prestataire.
Comment tenez-vous les dépendances à jour ? Pas encore
À la main pour l’instant : notre outil d’analyse lance npm audit et liste les paquets dépassés, et nous mettons à jour quand nous travaillons sur le code. Il n’y a pas encore de robot de mise à jour (Dependabot ou Renovate) dans le dépôt ; en ajouter un est une petite étape, la suivante sur cette liste. Nous gardons volontairement peu de dépendances, et les sites publiés n’en ont aucune.
↑ Retour à la liste
Sécurité des contenus
Comment empêchez-vous les contenus illégaux sur Big Cat ?
Trois couches, en ligne depuis le 29 octobre 2026. Avant publication, l’IA lit chaque mot et chaque photo que vous ajoutez, et ce qui est interdit (contenus sexuels, tout ce qui implique des mineurs, armes, drogues, fraude, haine, terrorisme, entre autres) est bloqué ou mis en attente pour une personne. Tous les 3 jours, les sites en ligne et leurs liens sont revérifiés ; seul le contenu nouveau ou modifié est relu. Nos conditions fixent les règles, et chacun peut signaler un site. Si la vérification ne peut pas tourner, la publication attend : elle ne la saute jamais.
Que se passe-t-il en cas de soupçon de contenu pédocriminel ?
Il est bloqué immédiatement et jamais affiché, même pour nous. Nous ne gardons aucune copie de l’image : seulement le compte, l’heure, la catégorie et une empreinte SHA-256 (un code qui identifie le fichier sans le contenir). Le compte est gelé, et une personne chez Big Cat le signale aux autorités françaises (PHAROS, internet-signalement.gouv.fr). Personne chez Big Cat n’ouvre ni ne télécharge une image suspecte.
Comparez-vous les images aux contenus d’abus connus ? Pas encore
Pas encore. L’outil gratuit CSAM Scanning Tool de Cloudflare compare les images des sites publiés aux empreintes d’images d’abus connues (listes du NCMEC, le centre américain de protection de l’enfance) et signale les correspondances. Il est choisi et décrit dans notre politique de confidentialité, mais pas encore activé : c’est un interrupteur dans notre compte Cloudflare, une étape de la fondatrice. La vérification par IA ci-dessus tourne déjà sur chaque photo en attendant.
Comment fonctionne le signalement (règlement européen sur les services numériques, DSA) ?
Chacun, connecté ou non, peut signaler un site sur bigcat.website/report (DSA art. 16). Le formulaire donne un numéro de référence comme accusé de réception, une personne examine le signalement, et le nom et l’e-mail de l’auteur sont facultatifs pour un signalement d’abus sur enfant. Les signalements sont gardés 1 an après la décision. Les infractions soupçonnées qui menacent la vie ou la sécurité d’une personne vont aux autorités (art. 18).
Me direz-vous pourquoi mon contenu a été retenu ou bloqué ? Pas encore
Oui : par e-mail, avec le motif et la façon de le contester (un exposé des motifs, DSA art. 17), et vous pouvez demander qu’une personne réexamine. Les e-mails sont construits ; la clé qui les envoie n’est pas encore posée, donc ils attendent dans une file et une tâche quotidienne les envoie dès qu’elle l’est. En attendant, l’écran vous indique que la publication est arrêtée. Le seul cas sans e-mail est le soupçon de contenu pédocriminel.
Que gardez-vous des décisions de sécurité ? Pas encore
Le principe : une empreinte de ce qui a été vérifié et son verdict (pour ne pas payer deux fois le même contenu), et pour ce qui est retenu ou bloqué une courte trace (compte, site, heure, catégories, court motif, quelle photo), supprimée 1 an après la décision. Pas encore : la table de la base pour ces traces (migration 0018) attend le feu vert de la fondatrice. Tant qu’elle n’est pas ajoutée, rien n’est enregistré et chaque publication est revérifiée, et le blocage fonctionne quand même.
↑ Retour à la liste
Incidents & violations
Avez-vous un plan de réponse aux incidents ?
Oui, rédigé le 29 octobre 2026 : la première heure étape par étape (noter l’heure, arrêter la fuite, garder les preuves), un tableau de remplacement des clés pour chaque prestataire, les critères de la CNIL pour juger du risque, des modèles d’e-mails prêts en français et en anglais, et un registre des violations. Des freins d’urgence dans la base peuvent arrêter d’un coup les inscriptions, la génération, l’IA et la publication. Aucune violation n’est enregistrée au 29 octobre 2026.
Prévenez-vous l’autorité, et quand ?
Oui : la CNIL sous 72 heures après avoir pris connaissance d’une violation qui présente un risque pour les personnes (RGPD art. 33), en deux temps si besoin (ce que nous savons d’abord, le reste ensuite sous la même référence). Une violation sans risque (par exemple un fichier de sauvegarde chiffré dont la clé est restée sûre) est quand même inscrite dans notre registre, avec la raison. Une attaque entraîne aussi une plainte ; un contenu illégal part à PHAROS.
Me prévenez-vous si mes données sont touchées ?
Oui. Si le risque pour vous est élevé, nous vous écrivons directement dans les meilleurs délais (art. 34) : ce qui s’est passé, quelles données, ce que nous avons fait, ce que vous pouvez faire. Si vous êtes un client professionnel et que les données de votre site sont touchées, nous vous prévenons dans les meilleurs délais (art. 33(2)), car vous devrez peut-être prévenir votre propre autorité. Notre fournisseur d’IA doit nous signaler une violation de son côté sous 48 heures.
Avez-vous testé le plan ? Pas encore
Pas encore. Le plan a été écrit le 29 octobre 2026 et n’a pas encore été répété lors d’un exercice sur table (une simulation sur un incident fictif). Les parties qui sont du code sont testées : les freins d’urgence et la restauration des sauvegardes ont leurs propres contrôles. Une simulation du plan complet est la prochaine étape.
↑ Retour à la liste
Suppression & conservation
Que se passe-t-il quand je supprime mon compte ?
Tout disparaît 30 jours après votre demande : compte, sites, textes, photos. Pendant ces 30 jours, vous pouvez vous connecter et annuler. Après la purge, nos sauvegardes chiffrées se renouvellent en 7 jours : vos données en disparaissent aussi. La seule exception est celle des factures, que la loi nous oblige à garder.
Puis-je exporter mes données ?
Oui, à tout moment, dans Mon compte : « Télécharger mes données » donne un fichier JSON avec tout ce que vous pouvez voir (RGPD art. 15 et 20), lu avec votre propre session pour que les mêmes règles d’accès s’appliquent. Les photos arrivent sous forme de liens valables une heure.
Combien de temps gardez-vous chaque type de données ?
Compte et contenu des sites : jusqu’à leur suppression, plus 30 jours, plus 7 jours de sauvegardes ; factures : 10 ans (droit comptable français) ; journaux techniques : 30 jours au plus ; traces de sécurité et signalements : 1 an après la décision ; e-mail « Rester informé » : jusqu’au désabonnement, 3 ans au plus ; vos e-mails : 3 ans après notre dernier échange, 5 ans s’ils concernent un contrat ou un litige.
Combien de temps le journal d’audit est-il gardé ? Pas encore
Pas encore limité. La durée proposée est de 12 mois (la CNIL conseille 6 mois à 1 an pour les journaux) ; la fonction de purge existe mais n’est pas encore programmée. Le journal ne contient qu’un identifiant de compte, une action et une heure, sans IP ni appareil, ce qui le garde léger en attendant.
↑ Retour à la liste
Disponibilité, sauvegardes & sortie
L’hébergement est-il fiable ?
Les sites publiés sont des fichiers statiques servis par le réseau mondial de Cloudflare : ils ne dépendent pas de notre application ni de notre base. L’application tourne sur Vercel, la base sur Supabase (offre payante). Nous ne promettons pas 100 % de disponibilité et ne proposons pas encore de SLA (engagement de niveau de service) ; nos conditions le disent clairement.
Comment sont faites les sauvegardes ?
Toute la base chaque jour et chaque photo nouvelle ou modifiée chaque heure, copiées dans Cloudflare R2 dans l’UE, chiffrées avec notre propre clé, gardées 7 jours. Supabase garde aussi 7 copies quotidiennes de la base : elle existe donc à deux endroits. Chaque passage est journalisé ; une photo qui échoue est retentée aux passages suivants.
Testez-vous la restauration ?
Oui, avec un script qui ouvre la copie la plus récente de la base et chaque photo avec la clé privée et les compte, lancé sur l’ordinateur de la fondatrice (la clé ne va jamais sur un serveur). Un écart, honnêtement : nous ne tenons pas encore de journal daté de chaque test mensuel, donc nous ne pouvons pas montrer la preuve de chacun.
Surveillez-vous la disponibilité ? Y a-t-il une page de statut ? Pas encore
Pas encore. Aujourd’hui, nous nous appuyons sur la surveillance et les pages de statut de nos prestataires (Vercel, Supabase, Cloudflare). Une surveillance externe avec alertes sur les fonctions clés (connexion, publication, sites publiés) est sur notre liste, puis une page de statut publique.
Que devient mon site si Big Cat s’arrête ? Pas encore
Aujourd’hui, vous pouvez télécharger toutes vos données (textes, réglages, photos) à tout moment, et si vous utilisez votre propre domaine, il reste à vous : vous le dirigez ailleurs. Pas encore construit : un export en un clic de votre site fini en fichiers HTML prêts à héberger, et un préavis écrit dans nos conditions pour le jour où le service fermerait. Les deux sont sur notre liste, car partir doit être aussi simple qu’arriver.
↑ Retour à la liste
Tests & audits
Comment le code est-il testé ?
Une suite automatique d’environ 1 800 tests tourne avant chaque déploiement, dont des tests de sécurité : la sécurité au niveau des lignes sur les vraies migrations de la base, les règles de connexion et de session, le contrôle de même origine sur chaque route, le nettoyage des photos, la vérification des contenus et les contrôles de publication. Un déploiement n’a lieu que si toute la suite passe. Rien ne part en ligne sans le oui explicite de la fondatrice.
Faites-vous des analyses de sécurité ?
Oui, notre propre outil, construit sur une liste de 50 points de sécurité : clés dans le code et son historique, fichiers exposés, cartes de sources, en-têtes de sécurité, cookies, CORS, motifs de code risqués et npm audit, sur le code et sur le site en ligne. Ce qu’il ne peut pas prouver est marqué « non vérifié », jamais « réussi ». C’est un outil d’analyse, pas un substitut à un regard extérieur.
Avez-vous fait un test d’intrusion externe ? Pas encore
Pas encore. Big Cat a démarré en octobre 2026 comme entreprise d’une seule personne, et un test d’intrusion professionnel (des experts extérieurs qui essaient d’entrer) coûte plus que notre budget de lancement. C’est le premier regard extérieur que nous achèterons ; d’ici là, nos propres tests et notre outil d’analyse sont ce que nous avons, et nous le disons.
Êtes-vous certifiés SOC 2 ou ISO 27001 ? Pas encore
Non. Ces certifications valident les processus de sécurité d’une organisation sur plusieurs mois, avec un auditeur extérieur, et sont pensées pour des équipes ; pour une micro-entreprise d’une personne au lancement, le coût et le processus ne conviennent pas encore. Ce que nous faisons à la place : nous nous appuyons sur des prestataires qui les ont (Supabase SOC 2 Type 2 ; Vercel, Cloudflare et Anthropic SOC 2 Type 2 et ISO 27001 ; Stripe PCI DSS niveau 1), et nous publions nos écarts ici.
↑ Retour à la liste
