Des fuites de donnees touchent regulierement des entreprises de toute taille, y compris des PME qui n'ont jamais ete visees directement. SYAGA verifie, en sources ouvertes, si des adresses email, des identifiants ou des domaines lies a votre entreprise apparaissent dans des fuites documentees publiquement, et vous restitue un rapport clair.
Une fuite de donnees peut exister sans que l'entreprise le sache
Des services tiers utilises par vos collaborateurs (messagerie, outils SaaS, forums, sites e-commerce) peuvent etre compromis independamment de votre propre systeme d'information, sans que vous en soyez informe.
Un mot de passe expose sur un service tiers, s'il est reutilise sur un compte professionnel, ouvre une porte d'entree simple pour un attaquant, sans qu'aucune faille ne soit necessaire cote entreprise.
Sans verification dediee, une entreprise n'a en general aucun moyen simple de savoir si son nom de domaine, ses adresses email ou des identifiants associes circulent deja dans des bases de fuites publiques.
Des sous-domaines oublies, des certificats mal geres ou des domaines proches du votre (typosquatting) peuvent egalement etre exploites pour usurper votre marque ou pieger vos clients et collaborateurs.
Un diagnostic mene par nos auditeurs, entierement en sources ouvertes, sans acces a vos systemes internes
Avec vous, nous listons le perimetre pertinent : nom(s) de domaine, adresses email professionnelles cles, dirigeants et comptes sensibles a verifier en priorite.
Nous verifions si les adresses email de votre perimetre apparaissent dans des fuites de donnees deja recensees publiquement, selon une methodologie inspiree des services de reference du secteur (type Have I Been Pwned).
Analyse des enregistrements DNS publics, des certificats emis pour vos domaines (journaux de transparence des certificats) et recherche de domaines proches du votre pouvant preter a confusion (typosquatting).
Recherche de mentions de votre entreprise sur des sites de partage de texte publics et via des techniques de recherche avancee (dorking), pour reperer des documents ou informations exposees par erreur.
Remise d'un rapport clair listant les constats, leur niveau de priorite et les actions recommandees (changement de mots de passe, activation de la double authentification, surveillance des domaines proches, etc.).
Un rapport de diagnostic, pas une simple liste d'alertes automatiques
Synthese claire de ce qui a ete verifie et de ce qui a ete constate.
Recherche d'adresses email de votre perimetre dans des fuites documentees publiquement.
Analyse de ce qui est visible publiquement sur vos domaines.
Recherche de domaines proches du votre pouvant usurper votre marque.
Recherche de traces de votre entreprise dans des sources ouvertes.
Une liste d'actions concretes, classees par urgence, pretes a etre suivies par vos equipes.
Ce que Fuite-Express fait, et ce qu'il ne fait pas
Des obligations de notification peuvent s'appliquer au titre du RGPD selon la nature de la fuite constatee. Notre diagnostic vous aide a objectiver la situation ; la qualification juridique et les eventuelles obligations restent a determiner avec votre DPO ou un conseil juridique.
Toutes les verifications sont menees a partir d'informations publiquement accessibles (bases de fuites documentees, DNS public, certificats publics, moteurs de recherche). Aucun test d'intrusion, aucun acces a vos systemes internes.
Nos auditeurs realisent chaque verification et interpretent les resultats. Ce n'est pas une plateforme automatisee accessible en self-service : c'est un accompagnement, mene par des personnes.
Le rapport constate une exposition eventuelle et propose des actions techniques et organisationnelles. Il ne se substitue pas a un avis d'avocat ou de DPO sur les obligations reglementaires qui pourraient s'appliquer a votre situation.
Tarification sur devis, selon le nombre de domaines et de comptes a verifier
1 nom de domaine, comptes cles de la direction
Plusieurs domaines et/ou marques, PME multi-sites
Groupe avec filiales, perimetre etendu
Aucun prix fixe affiche
Le perimetre (nombre de domaines, de comptes, de filiales) varie fortement d'une entreprise a l'autre. Chaque devis est etabli sur mesure apres l'etape de cadrage.
Ce que dit la CNIL sur l'obligation de notification en cas de violation de données
Selon la CNIL, l'obligation concerne "tous les responsables de traitement de données à caractère personnel", sans distinction de taille ni de secteur : entreprises privées, associations, organismes publics. Est "responsable de traitement" toute personne morale ou physique qui décide pourquoi et comment des données personnelles sont utilisées, par exemple une base de clients, un fichier de paie ou un CRM.
La CNIL définit une violation de données comme une perte de disponibilité, d'intégrité ou de confidentialité de données personnelles, survenue de manière accidentelle ou illicite. L'obligation de notifier la CNIL s'active dès lors que l'incident présente un risque pour les droits et libertés des personnes concernées.
D'après l'article 33 du RGPD, le responsable de traitement notifie l'autorité de contrôle compétente "dans les meilleurs délais et, si possible, 72 heures au plus tard" après avoir constaté la violation. Si la violation présente un risque élevé pour les personnes, celles-ci doivent en plus être informées directement (article 34 du RGPD).
La CNIL cite comme exemples de violations : une clé USB contenant une base de clients perdue et non sécurisée, un vol de données d'employés par un cybercriminel, une fuite d'informations financières suite à un accès non autorisé, ou encore la suppression accidentelle de données sans sauvegarde.
Ce n'est pas automatique pour chaque incident
La CNIL précise que la notification n'est pas requise si la violation ne porte pas atteinte aux données ou ne présente pas de risque pour les droits et libertés des personnes. Déterminer si votre situation déclenche ou non cette obligation reste une analyse juridique, à mener avec votre DPO ou un conseil : ce diagnostic vous aide à objectiver le signal, pas à le qualifier. Sources officielles : CNIL, notifier une violation de données personnelles et RGPD, articles 33 et 34 (consultées le 18/07/2026).
Ce que dit la loi, ce qui reste une bonne pratique, et les délais à connaître
Si la violation présente un risque pour les droits et libertés des personnes, le responsable de traitement doit notifier la CNIL "72 heures au plus tard après en avoir pris connaissance" (article 33 du RGPD). Si aucune information complémentaire n'est disponible à temps, une notification initiale peut être suivie d'un complément. En cas de doute, la CNIL recommande de notifier quand même : elle indique ensuite si une information des personnes est nécessaire. (Source : CNIL, consulté le 18/07/2026)
Quand la violation présente un risque élevé pour les personnes (par exemple des mots de passe ou données sensibles exposés), le responsable de traitement doit aussi les prévenir directement, "dans les meilleurs délais", avec une explication en termes clairs et simples (article 34 du RGPD). Cette communication n'est pas nécessaire si les données étaient chiffrées, si des mesures ont déjà supprimé le risque, ou si elle exigerait des efforts disproportionnés. (Source : CNIL, texte RGPD chapitre IV, consulté le 18/07/2026)
Quel que soit le niveau de risque, la CNIL rappelle que l'entreprise doit "documenter en interne l'incident" : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables et mesures prises. Cette traçabilité est exigée même quand la violation n'est pas assez grave pour justifier une notification à la CNIL, afin que celle-ci puisse vérifier la conformité en cas de contrôle. (Source : CNIL, consulté le 18/07/2026)
Un sous-traitant (hébergeur, prestataire informatique, éditeur SaaS...) qui traite des données pour votre compte a sa propre obligation : le RGPD prévoit qu'il "notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance" (article 33.2). Aucun délai chiffré n'est fixé pour cette étape-là, contrairement aux 72 heures qui courent ensuite pour votre propre notification à la CNIL. (Source : CNIL, texte RGPD chapitre IV, consulté le 18/07/2026)
Ce qui est une obligation légale, et ce qui est une bonne pratique
Les points ci-dessus (délai de 72h, information des personnes en cas de risque élevé, registre interne) sont des obligations légales prévues par les articles 33 et 34 du RGPD, telles que rappelées par la CNIL. En revanche, des actions comme changer les mots de passe exposés, activer la double authentification (MFA) ou surveiller des noms de domaine proches du vôtre (typosquatting) sont des bonnes pratiques de sécurité recommandées pour réduire le risque : ce ne sont pas, en tant que telles, des obligations fixées par les articles 33 et 34 du RGPD. Ce diagnostic vous aide à objectiver la situation ; la qualification juridique précise et le calcul des délais applicables à votre cas restent à déterminer avec votre DPO ou un conseil juridique.
Sept questions simples, sept réponses sourcées sur ce que dit vraiment la loi
Cette FAQ résume des sources officielles pour vous donner des repères rapides ; elle ne remplace pas un avis juridique. Pour qualifier votre situation précise, rapprochez-vous de votre DPO ou d'un conseil, ou de la CNIL directement.
Contactez-nous pour definir le perimetre et recevoir un devis personnalise.
Gratuit: votre score + vos écarts. Le rapport détaillé et l'attestation : 499 € HT, seulement si vous le décidez.
Demander un devis Revoir la demarche