cursor.com — 62/100 (Risque moyen pour la vie privée)
Dernière analyse
Anysphere, Inc. · cursor.com
Détails du rapport
Risque moyen pour la vie privéeCursor (Anysphere) promet de ne pas utiliser vos entrées de code pour l'entraînement de l'IA par défaut et ne vend pas vos données, mais il collecte une large gamme de données personnelles et d'utilisation, les envoie aux États-Unis avec des garanties de transfert vagues, et laisse des détails clés comme les périodes de conservation et les bases légales non spécifiés.
La politique de confidentialité de Cursor (Anysphere, Inc.) couvre un large éventail de collecte de données, allant des détails du compte à toutes les entrées et suggestions des utilisateurs. Bien que la politique se distingue positivement par son interdiction par défaut d'utiliser les entrées/suggestions pour l'entraînement des modèles et son engagement à ne pas vendre de données ni à recourir à la publicité ciblée, des lacunes importantes subsistent. Les périodes de conservation ne sont pas définies, les bases légales du traitement sont référencées dans un tableau vide, les mécanismes de transfert international ne sont pas précisés au-delà d'assurances génériques, et plusieurs documents critiques (Aperçu de la confidentialité, Politique des cookies, liste des sous-traitants) sont mentionnés mais non fournis. La collecte étendue des entrées — qui, dans un outil de codage, peuvent contenir des informations propriétaires ou sensibles — combinée au partage avec les fournisseurs de modèles et les partenaires d'infrastructure cloud soulève des préoccupations en matière de minimisation des données.
Évaluation par catégorie
Répartition de la politique selon les principaux domaines de conformité. Bon = solide, moyen = mitigé, faible = préoccupant.
La politique collecte toutes les entrées et suggestions des utilisateurs, ainsi que les données de l'appareil, des journaux et d'utilisation, et les informations de localisation, sans limiter clairement la collecte à ce qui est strictement nécessaire à la fourniture du service.
La politique est clairement rédigée et structurée, mais elle fait référence à plusieurs documents externes (Aperçu de la confidentialité, Politique des cookies, liste des sous-traitants) qui ne sont pas inclus, et le tableau des bases légales spécifiques par juridiction semble vide.
Les données sont partagées avec un large éventail de prestataires de services, y compris les fournisseurs de modèles et d'infrastructure cloud, mais aucun sous-traitant spécifique n'est nommé dans la politique elle-même et la liste référencée est externe.
Les données des utilisateurs de l'EEE sont transférées vers des serveurs américains avec seulement un engagement générique à des 'mécanismes de transfert juridiquement valables' et à un 'niveau adéquat de protection des données' — aucun mécanisme spécifique (Clauses Contractuelles Types, DPF, Règles d'Entreprise Contraignantes) n'est identifié.
Les entrées et suggestions ne sont explicitement pas utilisées pour l'entraînement des modèles par défaut, avec seulement des exceptions étroites (révision de sécurité, retour explicite, ou consentement explicite), et les utilisateurs peuvent gérer leurs préférences.
La politique énumère les droits d'accès, de suppression, de correction, de portabilité, d'opposition, de restriction et de retrait du consentement, mais ne fournit qu'un contact par e-mail générique et ne mentionne pas de Délégué à la Protection des Données (DPO) ou de représentant dans l'UE.
Constats clés
Clauses notables, problèmes ou bonnes pratiques identifiées (critiques en premier)
Collecte large des entrées et suggestions des utilisateurs sans minimisation claire
La section 1(A) indique que toutes les entrées (contenu soumis par l'utilisateur) et les suggestions (réponses générées par l'IA) sont collectées. Pour un outil de codage, les entrées peuvent contenir du code source propriétaire, des clés API, des identifiants ou d'autres données sensibles. La politique ne décrit aucune mesure technique pour filtrer ou minimiser ce qui est conservé à partir des entrées, seulement qu'elles sont collectées en intégralité.
Périodes de conservation vagues et non définies
La section 4 indique seulement que les données sont conservées 'aussi longtemps que nécessaire pour exploiter le service efficacement et pour répondre à des besoins commerciaux légitimes' et que 'la période de conservation appropriée varie.' Aucune durée ou critère spécifique n'est fourni pour aucune catégorie de données, ce qui rend impossible pour les utilisateurs de comprendre combien de temps leurs données persistent.
Mécanisme de transfert international non spécifié
La section 6 reconnaît que les données des utilisateurs de l'EEE sont transférées vers des serveurs américains, mais indique seulement que 'nous ne transférons les données qu'en conformité avec des mécanismes de transfert juridiquement valables' et 'nous exigeons un niveau adéquat de protection des données.' Le mécanisme juridique spécifique (Clauses Contractuelles Types, certification au Cadre de protection des données UE-États-Unis, Règles d'Entreprise Contraignantes) n'est pas identifié, ce qui est une exigence de transparence du RGPD.
Le tableau des bases légales spécifiques par juridiction est vide ou non fourni
La section 7 fait référence à un tableau qui 'complète cette Politique de Confidentialité en fournissant des détails supplémentaires sur l'objectif de la collecte de données, le type de données collectées et la base légale', mais le contenu du tableau n'est pas inclus dans le texte fourni. Sans cela, les exigences de l'article 13 du RGPD concernant la spécification des bases légales ne sont pas satisfaites.
L'exception de révision de sécurité pourrait élargir l'utilisation des données au-delà des attentes des utilisateurs
La première exception à la règle de non-entraînement de la section 2 permet l'utilisation des entrées/suggestions 'signalées pour une révision de sécurité' afin d''améliorer notre capacité à détecter et à faire respecter nos Conditions de Service'. Il s'agit d'une exception potentiellement large qui pourrait permettre l'entraînement des modèles sur les données des utilisateurs sans consentement explicite si elles sont jugées préoccupantes en matière de sécurité.
Aucun Délégué à la Protection des Données ou représentant dans l'UE identifié
La politique ne fournit qu'un e-mail de contact générique (hi@cursor.com) et n'identifie pas de Délégué à la Protection des Données, de représentant dans l'UE conformément à l'article 27 du RGPD, ni de rôle de contact dédié à la confidentialité, ce qui peut être requis étant donné le traitement des données des résidents de l'EEE.
Le désengagement par défaut de l'entraînement de l'IA est un point fort majeur
La section 2 indique explicitement : 'Nous n'utilisons pas les entrées ou les suggestions pour entraîner nos modèles, ni ne permettons à des tiers de les utiliser à cette fin, sauf : (1) s'ils sont signalés pour une révision de sécurité... (2) si vous nous les signalez explicitement... ou (3) si vous avez explicitement accepté leur utilisation à des fins d'entraînement.' Il s'agit d'une protection par défaut de la vie privée qui dépasse les normes du secteur pour les outils d'IA.
Synthèse pour l'utilisateur
Votre code et vos invites ne sont pas utilisés pour entraîner l'IA de Cursor par défaut, ce qui est une protection rare et bienvenue, mais tout ce que vous tapez transite toujours par leurs systèmes et peut être consulté pour des raisons de sécurité, et vos données sont envoyées aux États-Unis sans garanties juridiques claires.
Posture de conformité
Partiellement conforme aux principes du RGPD (Règlement Général sur la Protection des Données) ; solide sur la limitation des finalités pour l'entraînement de l'IA, mais faible sur la minimisation des données, la limitation de la conservation et la spécificité des transferts internationaux.
Transferts UE
Les données sont explicitement transférées vers les États-Unis. La politique indique que les transferts utilisent des 'mécanismes de transfert juridiquement valables' et nécessitent 'un niveau adéquat de protection des données', mais ne précise pas si des Clauses Contractuelles Types, le Cadre de protection des données UE-États-Unis (DPF) ou d'autres mécanismes sont utilisés. Il s'agit d'une lacune importante pour la conformité au RGPD.
Signaux détectés
Données et pratiques spécifiques identifiées dans le texte
Extraits probants
Citations directes de la politique à l'appui de ces constats
We do not use Inputs or Suggestions to train our models, or permit third parties to use them for training, unless: (1) they are flagged for security review (in which case we may analyze them to improve our ability to detect and enforce our Terms of Service), (2) you explicitly report them to us (for example, as Feedback), or (3) you've explicitly agreed to their use for such training purposes.
Anysphere retains your personal data only for as long as necessary to operate the Service effectively and to support legitimate business needs such as legal compliance, safety, dispute resolution, and enforcement of our agreements.
For users in the European Economic Area, ('EEA'), when you access our Service, your personal data may be transferred to our United States servers to other countries outside the EEA and the UK. Where information is transferred outside the EEA or the UK, we require an adequate level of data protection.
We do not 'sell' or 'share' personal data for cross-contextual behavioral advertising, and we do not process personal data for 'targeted advertising' purposes (as those terms are defined under applicable US state privacy laws).
The Service allows you to submit content ('Inputs'), which generate responses ('Suggestions') based on your Inputs. If you include personal data or reference external content in your Inputs, we will collect that information and it may be reproduced in the Suggestions we provide.
Manquant ou flou
- Bases légales spécifiques pour chaque finalité de traitement (article 13(1)(c) du RGPD)
- Périodes de conservation ou critères spécifiques par catégorie de données
- Identification du Délégué à la Protection des Données
- Identification du représentant dans l'UE conformément à l'article 27 du RGPD
- Mécanisme de transfert international spécifique (Clauses Contractuelles Types, DPF, Règles d'Entreprise Contraignantes)
- Contenu du tableau des divulgations spécifiques par juridiction référencé dans la section 7
- Document Aperçu de la confidentialité référencé dans l'introduction pour les détails sur l'entraînement des modèles
- Détails de la Politique des cookies
- Contenu de la liste des sous-traitants
- Détails sur le fonctionnement et la portée du signalement pour révision de sécurité
- Indication si des Analyses d'Impact sur la Protection des Données (AIPD) ont été réalisées
Questions à poser
- Quel mécanisme de transfert juridique spécifique utilisez-vous pour les transferts de données de l'EEE vers les États-Unis (Clauses Contractuelles Types, Cadre de protection des données UE-États-Unis ou autre), et pouvez-vous fournir la documentation pertinente ?
- Quelles sont les périodes de conservation spécifiques pour chaque catégorie de données personnelles, en particulier pour les entrées et les suggestions ?
- Selon quels critères spécifiques une entrée est-elle 'signalée pour une révision de sécurité', et pouvez-vous fournir des statistiques sur la fréquence à laquelle cette exception est invoquée ?
- Qui est votre Délégué à la Protection des Données ou représentant dans l'UE désigné, et comment les personnes concernées peuvent-elles les contacter directement ?
- Pouvez-vous fournir la liste complète des sous-traitants, y compris les fournisseurs de modèles, et préciser quels sous-traitants ont accès aux entrées des utilisateurs ?
- Avez-vous réalisé une Analyse d'Impact sur la Protection des Données pour le traitement des entrées des utilisateurs, étant donné le potentiel de contenu de code sensible ou propriétaire ?
- Quelles sont les bases légales spécifiques (consentement, intérêt légitime, exécution du contrat) pour chaque finalité de traitement énumérée dans la section 2 ?
- Comment fonctionne techniquement le mécanisme de 'gestion de vos préférences' pour l'opt-in/opt-out de l'entraînement de l'IA, et est-il activé par défaut pour tous les utilisateurs ?
Partager cette analyse
Toute personne disposant de ce lien peut consulter le résultat ci-dessus.
Conçu par DentroChat
Chat IA 100 % européen pour tous
Discutez avec l'IA, travaillez avec des fichiers, générez des images et cherchez sur le web. Les données restent en Europe.
Autres politiques de confidentialité analysées
Tout afficherapp.klang.ai
62/100
Risque moyen pour la vie privéeKlang AI collecte du contenu audio et vidéo potentiellement sensible, le partage avec plusieurs fournisseurs d'IA et se réserve le droit d'utiliser vos données téléchargées pour améliorer ses propres algorithmes sans proposer de désactivation — bien qu'elle conserve la plupart des traitements dans l'UE et applique une politique de rétention de données nulle avec ses sous-traitants IA.
Voir le rapport →eustella.com
62/100
Risque moyen pour la vie privéeeustella fait de fortes promesses en matière de confidentialité — aucune vente de données, aucun partage avec des tiers, aucun entraînement d'IA sur vos données, et tout le traitement reste dans l'UE — mais il s'agit d'un texte marketing, et non d'une politique de confidentialité contraignante, et des détails cruciaux sur la collecte des données, la conservation, les sous-traitants et les droits des utilisateurs sont absents du texte fourni.
Voir le rapport →lhv.com
62/100
Risque moyen pour la vie privéeLHV Bank collecte une vaste gamme de données personnelles et financières, les partage largement avec des agences de prévention de la fraude et des intermédiaires de paiement, et s'appuie fortement sur l'intérêt légitime pour le marketing et l'analyse — mais elle couvre les droits du RGPD et utilise un examen manuel pour les décisions de profilage.
Voir le rapport →cake.com
62/100
Risque moyen pour la vie privéeCAKE.com fournit des droits sur les données standard pour l'UE et des garanties de transfert, mais collecte des données de surveillance sur le lieu de travail très intrusives — comme des captures d'écran, la localisation en arrière-plan et l'utilisation des applications — au nom des employeurs, qui agissent en tant que responsables du traitement pour leurs employés.
Voir le rapport →