Politique de confidentialité

Responsable du traitement

Le responsable du traitement des données personnelles collectées via ce site est la société indiquée dans les mentions légales. Pour toute question relative à la protection des données, écrivez à l’adresse e-mail qui y figure. Lorsqu’un transfert décrit dans la présente politique repose sur des clauses contractuelles types (art. 46.2.c RGPD), vous pouvez en obtenir une copie à l’adresse e-mail indiquée dans les mentions légales.

Hébergement et journaux serveur

Ce site est hébergé par Cloudflare Pages (Cloudflare, Inc.) ; les fonctions serveur s’exécutent sur le même edge Cloudflare. À l’ouverture d’une page, votre navigateur transmet des données techniquement nécessaires : adresse IP, date et heure de la requête, page consultée, référent, navigateur et système d’exploitation. Cloudflare les traite pour délivrer le site et le protéger contre les attaques.

Aucun cookie n’est déposé pour l’hébergement et la diffusion de ce site. La base légale du traitement décrit ci-dessus est notre intérêt légitime à exploiter un site sûr et fonctionnel (art. 6.1.f RGPD).

Cloudflare transmet en outre à votre navigateur une politique de signalement des erreurs réseau (Network Error Logging). Votre navigateur la conserve sept jours pour ce domaine et peut ainsi signaler à Cloudflare les connexions qui ont échoué (a.nel.cloudflare.com). C’est ainsi que nous apprenons que des pages n’atteignent pas les visiteurs ; la base légale est notre intérêt légitime à disposer d’un site fiablement accessible (art. 6.1.f RGPD).

Un contrat de sous-traitance est en place avec Cloudflare. Cloudflare, Inc. étant certifiée au titre du cadre de protection des données UE–États-Unis, les transferts vers les États-Unis reposent sur la décision d’adéquation de la Commission européenne (art. 45 RGPD) ; les transferts vers d’autres pays tiers sont encadrés par des clauses contractuelles types (art. 46.2.c RGPD). Les journaux d’accès côté serveur ne sont conservés que le temps nécessaire à la sécurité et à l’exploitation, puis supprimés, sauf si un incident de sécurité concret exige une conservation plus longue.

Polices de caractères

Toutes les polices sont servies depuis notre propre domaine. Aucune requête n’est adressée à Google Fonts ni à un autre fournisseur : aucune donnée vous concernant ne parvient à un tiers pour ce motif.

Formulaire de contact

Lorsque vous envoyez une demande, nous traitons les informations saisies — nom, société, adresse e-mail, téléphone le cas échéant, et votre message — pour y répondre. Vous n’avez aucune obligation légale ou contractuelle de nous fournir ces informations ; sans nom, société, adresse e-mail et message, nous ne pouvons toutefois pas traiter votre demande. Nous traitons en outre les données techniques décrites ci-dessous — la version linguistique du site que vous avez utilisée, le pays que Cloudflare déduit de votre adresse IP, l’adresse de la page depuis laquelle vous avez envoyé le formulaire (y compris les éventuels paramètres de cette adresse), l’adresse que votre navigateur transmet comme référent et le résultat de notre contrôle anti-spam automatique — ainsi que les éventuels paramètres de campagne du lien par lequel vous avez accédé au formulaire (par exemple l’identifiant de clic d’une annonce, ou des indications sur la source et la campagne d’un lien), afin de qualifier la demande, de repérer les envois automatisés et de savoir quelles pages, quelles annonces et quelles campagnes aboutissent à des demandes.

La base légale pour répondre à votre demande est l’article 6.1.b RGPD lorsque celle-ci porte sur un contrat auquel vous êtes ou devez devenir vous-même partie (par exemple dans le cadre d’une entreprise individuelle), et à défaut notre intérêt légitime à répondre aux demandes professionnelles (art. 6.1.f RGPD). La base légale pour les données techniques et les paramètres de campagne est notre intérêt légitime à qualifier les demandes, à repérer les envois automatisés et à savoir quelles pages, annonces et campagnes aboutissent à des demandes (art. 6.1.f RGPD).

Nous sommes avisés de votre demande par e-mail. Toute notification de ce type est acheminée par Resend (Plus Five Five, Inc., États-Unis), sous-traitant lié par un contrat de sous-traitance. Le domaine d’expédition est configuré dans la région UE (Irlande) de Resend, ce qui détermine seulement le lieu d’expédition ; Resend conserve les données qu’il traite aux États-Unis, notamment le contenu de l’e-mail, les journaux de distribution et les enregistrements d’API, et garde les données des e-mails et des journaux pendant 30 jours. Ce transfert repose sur les clauses contractuelles types de la Commission européenne (art. 46.2.c RGPD), intégrées au contrat de sous-traitance conclu avec Resend ; en outre, Plus Five Five, Inc. est certifiée au titre du cadre de protection des données UE–États-Unis, qui fait l’objet d’une décision d’adéquation de la Commission européenne (art. 45 RGPD). Lorsque ce site envoie lui-même la notification, celle-ci contient, outre les informations que vous avez saisies, la version linguistique du site que vous avez utilisée, le pays que Cloudflare déduit de votre adresse IP, l’adresse de la page depuis laquelle vous avez envoyé le formulaire (y compris les éventuels paramètres de cette adresse), l’adresse que votre navigateur transmet comme référent et le résultat de notre contrôle anti-spam automatique, afin que nous puissions qualifier la demande et repérer les envois automatisés ; votre adresse IP elle-même n’y figure pas. Les éventuels paramètres de campagne du lien par lequel vous avez accédé au formulaire (par exemple l’identifiant de clic d’une annonce, ou des indications sur la source et la campagne d’un lien) sont transmis avec votre demande, afin de savoir quelle annonce ou campagne l’a produite ; ils sont lus uniquement dans l’adresse web et ne sont pas stockés sur votre appareil.

Lorsque ce site envoie lui-même la notification et que Resend ne peut pas accepter l’e-mail, la demande complète, y compris les informations complémentaires mentionnées ci-dessus, est conservée temporairement dans Cloudflare KV afin de ne pas être perdue ; elle y est supprimée automatiquement au plus tard après 90 jours.

Sous la case obligatoire, le formulaire en comporte une seconde, facultative : vous pouvez nous autoriser à vous écrire de nouveau plus tard. Sans elle, votre demande est traitée exactement de la même façon. Si vous la cochez, nous conservons comme preuve le libellé qui vous a été présenté, le moment où vous l’avez cochée, la page depuis laquelle vous avez envoyé le formulaire et votre adresse IP convertie en valeur de hachage — c’est la preuve d’un consentement au sens de l’art. 6, § 1, point a du RGPD. Vous pouvez le retirer à tout moment, sans formalité et sans frais ; la licéité du traitement effectué jusque-là n’en est pas affectée.

Les demandes nous parviennent dans une boîte aux lettres hébergée sur Microsoft 365 / Exchange Online (Microsoft Ireland Operations Ltd., qui peut faire appel à Microsoft Corporation, aux États-Unis, en tant que sous-traitant ultérieur). Un contrat de sous-traitance est en place avec Microsoft ; tout transfert hors UE est couvert par les clauses contractuelles types. Les bases légales indiquées ci-dessus s’appliquent également à l’exploitation de la boîte aux lettres.

Nous conservons les demandes le temps nécessaire au traitement du dossier et à toute relation d’affaires qui en découle, ainsi que pendant les durées légales de conservation applicables (notamment obligations commerciales et fiscales), puis les supprimons. Le délai maximal de 90 jours applicable à la copie temporaire dans Cloudflare KV décrite ci-dessus n’en est pas affecté.

Notre propre système client

Nous reprenons en outre la demande dans notre propre système client, afin qu’aucune ne reste sans suite. Il fonctionne chez Supabase (Supabase Pte. Ltd., Singapour) en qualité de sous-traitant ; la base de données se trouve à Francfort-sur-le-Main. Le système reçoit les informations que vous avez saisies, l’adresse de la page depuis laquelle vous avez envoyé le formulaire et les éventuels paramètres de campagne décrits ci-dessus, et en constitue une affaire, un contact, une note et une tâche de réponse. La version linguistique que vous avez utilisée, le pays déduit de votre adresse IP, le référent et le résultat du contrôle anti-spam ne lui sont pas transmis.

En principe, c’est le système client qui envoie l’e-mail de notification, et ce site n’en envoie alors aucun. À défaut — parce qu’il n’a pas pu accepter la demande, ou qu’il l’a acceptée sans envoyer la notification —, ce site envoie la notification décrite sous « Formulaire de contact ». L’un comme l’autre de ces e-mails passe par Resend, dans les conditions décrites à cet endroit. L’e-mail du système client signale seulement qu’une demande est arrivée et renvoie au système client : il contient les informations que vous avez saisies — entreprise, nom, adresse e-mail, numéro de téléphone et votre message —, la page depuis laquelle vous avez envoyé le formulaire, les éventuels paramètres de campagne ainsi qu’un lien vers le dossier correspondant. Il ne contient pas les données techniques énumérées sous « Formulaire de contact » — version linguistique, pays déduit de votre adresse IP, référent et résultat du contrôle anti-spam —, car elles ne sont pas transmises au système client. Contrairement au dossier dans le système client, une copie de cet e-mail reste dans notre boîte aux lettres et, pendant la durée décrite sous « Formulaire de contact », chez Resend.

Pour limiter les envois automatisés en masse, votre adresse IP est également transmise à ce système et immédiatement convertie en une empreinte calculée avec une clé secrète ; l’adresse elle-même n’y est pas conservée et l’entrée de compteur portant cette empreinte est supprimée par un nettoyage horaire, au plus tard environ deux jours après l’heure comptabilisée. Un contrat de sous-traitance est en place avec Supabase et tout transfert vers un pays tiers est encadré par les clauses contractuelles types de la Commission européenne (art. 46.2.c RGPD). Les bases légales indiquées sous « Formulaire de contact » s’appliquent également ici.

Protection anti-abus du formulaire

Afin de ralentir les envois automatisés en masse du formulaire de contact, nous comptons brièvement le nombre de demandes envoyées depuis chaque adresse IP. Ce compteur est stocké dans Cloudflare KV sous votre adresse IP comme clé, s’efface automatiquement dix minutes après la dernière demande comptabilisée et ne sert à aucune autre fin. Un compteur global, également stocké dans Cloudflare KV, comptabilise en outre l’ensemble des demandes par heure d’horloge ; il ne contient aucune adresse IP et s’efface automatiquement deux heures après la dernière demande comptabilisée. La base légale est notre intérêt légitime à protéger le formulaire contre les usages automatisés abusifs (art. 6.1.f RGPD).

Protection anti-spam du formulaire

Le formulaire de contact est protégé par Cloudflare Turnstile (Cloudflare, Inc.), qui distingue les visiteurs humains des envois automatisés. À l’ouverture du formulaire, Turnstile reçoit votre adresse IP et des informations techniques sur votre navigateur, et peut lire et écrire une valeur dans votre navigateur à cette fin. Il n’utilise pas de cookies de suivi et n’établit aucun profil entre sites. Cet accès à votre navigateur est strictement nécessaire pour protéger le formulaire que vous utilisez contre les abus automatisés (art. 82 de la loi Informatique et Libertés ; § 25, al. 2, n° 2 TDDDG ; art. 22.2 LSSI).

La base légale est notre intérêt légitime à protéger le formulaire contre les abus automatisés (art. 6.1.f RGPD). Cloudflare agit comme sous-traitant pour cette vérification. Selon son avenant de confidentialité Turnstile, Cloudflare utilise également ces informations en tant que responsable de traitement distinct pour améliorer sa détection des bots. Les transferts vers les États-Unis reposent sur la certification de Cloudflare au titre du cadre de protection des données UE–États-Unis (art. 45 RGPD), les autres transferts hors UE sur des clauses contractuelles types (art. 46.2.c RGPD). Nous ne conservons pas les données collectées par Turnstile ; seul le résultat de la vérification est ajouté à votre demande et conservé comme indiqué sous « Formulaire de contact ». Pour son propre traitement en tant que responsable distinct, Cloudflare fixe lui-même la durée de conservation (cloudflare.com/turnstile-privacy-policy). Si JavaScript est désactivé, la vérification ne s’exécute pas et vous pouvez tout de même envoyer votre demande.

Nous contacter directement

Vous pouvez aussi nous joindre sans le formulaire, à l’adresse e-mail et au numéro de téléphone indiqués dans les mentions légales. Un e-mail que vous nous adressez arrive dans la même boîte aux lettres Microsoft 365 décrite sous « Formulaire de contact » et y est traité, et nulle part ailleurs — aucune des autres étapes décrites pour le formulaire ne s’y applique ; si vous nous téléphonez, nous traitons ce que vous nous indiquez pendant l’appel. Dans les deux cas, la finalité est de répondre à votre demande. La base légale est l’article 6.1.b RGPD lorsque la demande porte sur un contrat auquel vous êtes ou devez devenir vous-même partie, et à défaut notre intérêt légitime à répondre aux demandes professionnelles (art. 6.1.f RGPD). Les critères de conservation sont les mêmes que pour les demandes envoyées via le formulaire.

Stockage sur votre appareil

Sauf lorsque cela est décrit, pour une fonction ou un service précis, dans une section distincte de la présente politique, ce site ne dépose aucun cookie, n’enregistre rien qui lui soit propre dans votre navigateur et n’y lit aucune information stockée. Votre navigateur conserve néanmoins deux éléments pour ce domaine, tous deux définis par notre réseau de diffusion Cloudflare : la consigne de n’accéder à ce domaine qu’en HTTPS (HTTP Strict Transport Security, 30 jours) et la politique de signalement des erreurs réseau décrite sous « Hébergement et journaux serveur » (7 jours). Ils servent à la sécurité du transport et au signalement des erreurs ; ni l’un ni l’autre n’est utilisé pour vous reconnaître ou vous suivre entre sites.

Vos droits

Vous disposez d’un droit d’accès à vos données et d’en obtenir copie, de rectification, d’effacement, de limitation du traitement, de portabilité, ainsi que d’un droit d’opposition aux traitements fondés sur l’intérêt légitime. Lorsqu’un traitement repose sur votre consentement, vous pouvez le retirer à tout moment sans remettre en cause la licéité du traitement déjà effectué.

Droit d’opposition : lorsque nous traitons vos données sur la base de l’intérêt légitime (art. 6.1.f RGPD), vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière (art. 21.1 RGPD). Nous cessons alors le traitement, à moins de démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts, droits et libertés, ou que le traitement soit nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.

Vous pouvez également introduire une réclamation auprès d’une autorité de contrôle. Notre autorité de contrôle chef de file est l’autorité espagnole de protection des données (Agencia Española de Protección de Datos — AEPD, www.aepd.es). Vous pouvez néanmoins saisir toute autre autorité de contrôle de l’UE ou de l’EEE, notamment dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation aurait été commise (art. 77 RGPD).

Modifications

Nous adaptons cette politique lorsque le site évolue. La date indiquée ci-dessus signale toujours la version en vigueur.