Politique de confidentialité

01 Responsable de traitement

Le responsable des traitements décrits dans cette politique, au sens de l’article 4.7 du règlement (UE) 2016/679 (RGPD), est :

Responsable de traitement

Quentin DESANTI, entrepreneur individuel (enseigne SCROLER WEBSERVICES), Entreprise individuelle

Adresse

52 rue de la Résistance, 82000 Montauban

Adresse électronique

[ADRESSE E-MAIL DE CONTACT]

Téléphone

[NUMÉRO DE TÉLÉPHONE]

Les autres informations d’identification de l’éditeur figurent dans les mentions légales.

Aucun délégué à la protection des données n’est désigné : la désignation n’est obligatoire ni au titre de l’activité, ni au titre du volume de données traitées, qui reste celui d’une agence recevant des demandes de devis. Les demandes relatives aux données personnelles sont traitées directement par le responsable de traitement, à l’adresse ci-dessus.

02 Ce qui est collecté

Nous ne recueillons rien du seul fait de votre visite. Le site ne comporte ni mesure d’audience, ni traceur publicitaire, ni bouton de réseau social, ni ressource appelée sur un serveur tiers. Tant que vous n’envoyez pas de formulaire, aucune information ne nous parvient et nous ne savons pas que vous êtes passé — le détail figure à l’article 8 des mentions légales.

Une réserve doit être faite immédiatement, plutôt qu’enfouie plus loin : comme tout serveur web, celui qui héberge ce site tient des journaux de connexion, qui contiennent notamment votre adresse IP. C’est une collecte, même si nous ne la demandons pas, même si nous ne la consultons pas. Elle est décrite à l’article 2.6, sa base légale figure à l’article 3 et sa durée à l’article 7.

Les seules données qui nous parviennent sont celles que vous saisissez dans l’un des formulaires de demande. Ils sont au nombre de quatre, et voici, champ par champ, ce que chacun demande.

2.1 · Formulaire de demande — pôle Site web

• Votre projet : le type de projet choisi (site vitrine, boutique en ligne, espace client, application métier, refonte, site multilingue, ou « je ne sais pas encore ») et les besoins que vous cochez.
• Précisions sur le projet : selon le type retenu, le nombre de pages envisagé, l’état de vos textes et photos, le nombre de références à vendre, les outils à connecter, ou l’objectif décrit en une phrase.
• Vos coordonnées : nom et prénom (obligatoire), entreprise ou structure, adresse e-mail (obligatoire), téléphone, adresse de votre site actuel.
• Votre cadre : la date de démarrage souhaitée, la fourchette de budget envisagée, et un message libre.
• Votre accord : la case de consentement, obligatoire pour envoyer.

2.2 · Formulaire de demande — pôle Communication

• Votre activité : le secteur choisi et les besoins cochés (images drone, images au sol, réseaux sociaux, édition, signalétique, identité visuelle…).
• Précisions sectorielles : selon le secteur, le cadre de la commande, un volume ou une population, ou votre activité décrite en une phrase.
• Vos coordonnées : nom et prénom (obligatoire), entreprise ou structure, adresse e-mail (obligatoire), téléphone, et la commune du projet (obligatoire).
• Votre cadre : la date de démarrage souhaitée, la fourchette de budget, un message libre, et la case de consentement.

2.3 · Formulaire de demande — pôle Intelligence artificielle

• Votre besoin : ce que vous cherchez à faire (automatiser une tâche, un assistant, du traitement de documents, un logiciel métier, ou « je ne sais pas encore ») et les précisions cochées.
• Votre contexte : la fréquence de la tâche, les outils dont vous vous servez aujourd’hui, le nombre de personnes concernées, la taille de la structure.
• Vos coordonnées : nom et prénom (obligatoire), entreprise ou structure, adresse e-mail (obligatoire), téléphone.
• Votre cadre : la date de démarrage souhaitée, la description de la tâche ou de la question, et la case de consentement.

2.4 · Formulaire de la page « Nous écrire »

C’est le formulaire de la page de contact. Il couvre les trois pôles à lui seul et se remplit en quatre temps ; les questions du troisième changent selon le pôle et la catégorie choisis, et seules celles du parcours retenu partent avec la demande.

• Le pôle (obligatoire) : création de site web, communication, ou intelligence artificielle.
• La catégorie (obligatoire) : selon le pôle, le type de projet (sept choix), le secteur d’activité (neuf choix) ou le type de besoin (cinq choix) — repris à l’identique des trois pages de pôle.
• Vos besoins et vos précisions : les cases que vous cochez, et les questions propres à la catégorie retenue — nombre de pages, état de vos contenus, nombre de références à vendre, outils déjà en place, volume ou population concernée, fréquence d’une tâche, nombre d’utilisateurs, échéance, contraintes du secteur, ou votre activité décrite en une phrase.
• Vos coordonnées : nom et prénom (obligatoire), entreprise ou structure, adresse e-mail (obligatoire), téléphone, commune du projet, adresse de votre site actuel.
• Votre cadre : la date de démarrage souhaitée, la fourchette de budget envisagée, un message libre, et la case de consentement (obligatoire).

2.5 · Ce qui n’est jamais demandé

Le site ne comporte aucun compte utilisateur, aucune inscription, aucun identifiant ni mot de passe. Il n’accepte aucun paiement et ne demande donc aucune coordonnée bancaire. Il ne collecte aucune donnée sensible au sens de l’article 9 du RGPD : ni origine, ni opinions politiques, ni convictions religieuses, ni appartenance syndicale, ni données de santé, ni données génétiques ou biométriques, ni données relatives à la vie ou à l’orientation sexuelle. Aucun numéro de sécurité sociale, aucune pièce d’identité, aucun document n’est demandé par les formulaires.

Nous vous demandons de ne pas écrire de telles informations dans les champs de message libre. Si vous le faites malgré tout, nous ne les exploitons pas, nous n’en tirons aucune conséquence, et nous supprimons le message de nos dossiers dès que nous le remarquons. Nous ne promettons pas davantage, et c’est délibéré : un message reçu existe aussi dans les copies d’envoi et les sauvegardes du fournisseur de messagerie, sur lesquelles nous n’avons pas la main. Raison de plus pour ne pas les écrire.

Un champ invisible est présent dans chaque formulaire : un pot de miel destiné aux robots. Il n’a pas d’usage pour vous et aucun navigateur ne vous le présente. Son contenu est lu dans votre navigateur, et nulle part ailleurs, pour une seule décision : s’il est rempli, l’envoi est abandonné et rien ne part. Il n’est ni enregistré, ni analysé, ni conservé, et il ne nous parvient pas. Le jour où le formulaire sera relié à un service de réception, ce champ portera un nom comme les autres et sera transmis vide avec la demande ; il ne contiendra alors rien de plus qu’une chaîne vide.

2.6 · Les journaux de connexion au serveur

C’est la seule donnée qui vous concerne et qui soit enregistrée sans que vous ayez rien saisi. Elle n’est pas collectée par nous mais par l’hébergeur du site, et elle l’est pour tous les sites du monde : un serveur web note les requêtes qu’il reçoit, faute de quoi il serait impossible de le maintenir, ni de comprendre une panne ou une attaque.

Un journal de connexion comporte typiquement, pour chaque page appelée : l’adresse IP de la machine qui appelle — laquelle est une donnée personnelle —, la date et l’heure, l’adresse de la page demandée, le code de réponse du serveur, ainsi que le type de navigateur et la page d’où vous venez lorsqu’ils sont transmis.

Ce que nous en faisons : rien. Nous ne les consultons pas dans le cours ordinaire du service, nous ne les recopions nulle part, nous ne les recoupons avec aucune demande reçue, et ils n’alimentent aucune statistique de fréquentation. Ils restent chez l’hébergeur, qui en fixe seul le contenu et la durée (article 7), et ne seraient consultés qu’en cas d’incident technique ou de sécurité concernant le serveur.

03 Finalités et bases légales

Chaque traitement a une finalité unique et une base légale identifiée, au sens de l’article 6 du RGPD.

La distinction entre les deux premières lignes n’est pas cosmétique. Lorsque vous demandez un devis, le traitement repose sur l’article 6.1.b : il est nécessaire pour répondre à une démarche que vous avez engagée, et il n’a pas besoin d’un consentement pour être licite. La case à cocher que vous rencontrez dans le formulaire couvre le second cas — la demande qui n’appelle pas de contrat — et, dans tous les cas, elle vous informe et vous laisse la main.

Aucune de vos données ne fait l’objet d’une décision entièrement automatisée ni d’un profilage au sens de l’article 22 du RGPD. Les réponses sont écrites par une personne.

04 Ni démarchage, ni revente

Les formulaires du site portent trois promesses, écrites à côté du bouton d’envoi et de la case de consentement. Cette politique les confirme et les rend opposables.

• Aucune prospection non sollicitée. Vos coordonnées servent à répondre à votre demande, et à rien d’autre. Vous ne serez inscrit à aucune lettre d’information, vous ne recevrez ni relance commerciale automatique, ni offre sur un service que vous n’avez pas évoqué. Si votre demande n’aboutit pas, l’échange s’arrête.
• Aucune revente, aucune cession, aucun partage commercial. Vos données ne sont ni vendues, ni louées, ni échangées, ni transmises à un partenaire, un annonceur, un courtier en données ou une régie. Les seuls tiers qui les traitent sont les sous-traitants techniques strictement nécessaires, énumérés à l’article 6.
• Aucun enrichissement. Nous ne recoupons pas vos données avec des fichiers achetés, des bases d’entreprises ou des profils de réseaux sociaux pour compléter ce que vous ne nous avez pas dit.

Si nous devions un jour vous adresser une information commerciale — par exemple un nouveau service susceptible de vous intéresser — ce ne serait qu’après avoir recueilli votre accord distinct, dans les conditions de l’article L. 34-5 du code des postes et des communications électroniques, et chaque message comporterait un moyen de refus immédiat.

05 Entraînement des modèles d’intelligence artificielle

Deux des quatre formulaires du site — celui de la page « Nous écrire » et celui du pôle intelligence artificielle — affirment que vos données « ne servent à entraîner aucun modèle » ; les deux autres s’en tiennent à « elles ne sont transmises à personne d’autre ». L’engagement qui suit vaut pour les quatre, quel que soit le formulaire par lequel vous nous écrivez. Voici ce qu’il recouvre exactement. Deux choses très différentes sont en jeu, et les confondre est l’erreur la plus fréquente sur ce sujet.

5.1 · Les données de ce site

Les informations que vous saisissez dans un formulaire de ce site — vos coordonnées, la description de votre projet, vos messages — ne sont jamais utilisées pour entraîner, affiner, évaluer ou améliorer un modèle d’intelligence artificielle, qu’il s’agisse d’un modèle que nous développerions ou d’un modèle exploité par un tiers.

Concrètement, cela signifie que ces données :

• ne sont pas versées dans un jeu de données d’entraînement, même anonymisées ou agrégées ;
• ne sont pas transmises à un fournisseur de modèle de langage, ni par une interface de programmation, ni par un formulaire de conversation ;
• ne sont pas utilisées comme exemples, comme démonstrations, ni comme cas d’usage rendus publics sans votre accord écrit ;
• ne sont recopiées dans aucun service d’intelligence artificielle générative, ni pour rédiger une réponse, ni pour résumer ou classer votre demande.

Cet engagement ne dépend d’aucune case à décocher et n’a pas de contrepartie. Il appelle une précision que nous préférons écrire plutôt que taire : nous nous servons d’outils d’assistance automatisés pour notre propre travail — c’est le métier d’un de nos trois pôles, prétendre le contraire serait invraisemblable. La règle que nous appliquons est simple et vérifiable dans nos usages : aucune donnée reçue par ce site n’y est saisie, ni vos coordonnées, ni le texte de votre message, ni un extrait de celui-ci. Si cette règle devait changer, ce paragraphe serait réécrit avant, jamais après.

5.2 · Les prestations d’intelligence artificielle vendues à nos clients

C’est un sujet distinct, et hors du périmètre de cette politique. Lorsque nous construisons un assistant, une automatisation ou un outil métier pour une entreprise, les données traitées sont celles de cette entreprise et de ses propres utilisateurs, dans le cadre d’un projet contractualisé.

Ces traitements sont régis par le contrat de prestation et, lorsque nous agissons pour le compte du client, par un contrat de sous-traitance conforme à l’article 28 du RGPD, qui définit les finalités, les modèles employés, leur localisation, la conservation éventuelle des requêtes et l’interdiction ou non de réutiliser les données pour entraîner un modèle. Le client y est responsable de traitement, et nous sous-traitant.

06 Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes qui, chez l’éditeur, traitent les demandes entrantes. Elles sont techniquement traitées par les sous-traitants suivants, au sens de l’article 28 du RGPD, et par eux seuls.

Hébergement du site

o2switch, hébergeur français établi à Clermont-Ferrand. Il héberge les fichiers du site et conserve les journaux de connexion au serveur décrits à l’article 2.6, dont il fixe seul le contenu et la durée.

Réception des formulaires

[SERVICE DE RÉCEPTION DES FORMULAIRES]

Messagerie

[FOURNISSEUR DE MESSAGERIE PROFESSIONNELLE] — c’est par là que la demande nous parvient et que la réponse repart.

Aucun autre destinataire n’existe. En particulier, aucune donnée n’est communiquée à un outil de mesure d’audience, à une régie publicitaire, à un réseau social ou à un fournisseur de modèle d’intelligence artificielle.

Vos données peuvent être communiquées à une autorité administrative ou judiciaire lorsque la loi l’impose, sur réquisition régulière et dans les seules limites de celle-ci.

07 Durées de conservation

Les données ne sont pas conservées indéfiniment. Les durées ci-dessous sont les usages courants pour ce type de demande — elles sont proposées, pas encore arrêtées, et doivent être confirmées avant la mise en ligne.

Lorsqu’une demande débouche sur un contrat, les données nécessaires à son exécution et à la facturation sortent du cadre de cette politique : elles relèvent des obligations comptables et fiscales de l’éditeur, notamment de l’article L. 123-22 du code de commerce, et sont conservées pour la durée que celles-ci imposent.

08 Transferts hors Union européenne

La question dépend entièrement du service qui recevra les formulaires, et ce choix n’est pas encore fait (article 6).

• Hébergement du site : assuré par o2switch, société française (article 6). Le pays d’implantation de ses serveurs est [PAYS D’HÉBERGEMENT ANNONCÉ PAR O2SWITCH].
• Réception des formulaires et messagerie : localisation des données [LOCALISATION DES DONNÉES DU SERVICE DE FORMULAIRE].

Si le service retenu traite les données hors de l’Union européenne, le transfert sera encadré par l’un des instruments prévus au chapitre V du RGPD — décision d’adéquation de la Commission européenne, ou clauses contractuelles types assorties des mesures supplémentaires nécessaires. L’instrument retenu sera indiqué ici : [GARANTIE ENCADRANT LE TRANSFERT].

Si le service retenu traite les données au sein de l’Union européenne, ce paragraphe sera remplacé par la mention qu’aucun transfert hors Union européenne n’a lieu — ce qui est, à préférence égale, le choix que nous privilégions.

09 Vos droits

Le RGPD et la loi Informatique et Libertés vous reconnaissent, sur les données qui vous concernent, les droits suivants :

• Droit d’accès (article 15) : obtenir la confirmation que des données vous concernant sont traitées, et en recevoir une copie.
• Droit de rectification (article 16) : faire corriger une donnée inexacte ou compléter une donnée incomplète.
• Droit à l’effacement (article 17) : demander la suppression de vos données, notamment lorsqu’elles ne sont plus nécessaires ou que vous retirez votre consentement.
• Droit à la limitation (article 18) : demander le gel d’un traitement, le temps qu’une contestation soit tranchée.
• Droit d’opposition (article 21) : vous opposer, pour des raisons tenant à votre situation, à un traitement fondé sur l’intérêt légitime ; et vous y opposer sans motif s’il s’agit de prospection.
• Droit à la portabilité (article 20) : recevoir dans un format structuré et lisible par machine les données que vous nous avez fournies, ou en demander la transmission directe à un autre responsable.
• Retrait du consentement (article 7.3) : lorsque le traitement repose sur votre consentement, le retirer à tout moment, sans que cela remette en cause ce qui a été fait avant.
• Directives post-mortem (article 85 de la loi Informatique et Libertés) : définir des directives relatives à la conservation, à l’effacement et à la communication de vos données après votre décès, et désigner la personne chargée de leur exécution.

9.1 · Comment les exercer

Écrivez à [ADRESSE E-MAIL DE CONTACT], ou par courrier à 52 rue de la Résistance, 82000 Montauban. Indiquez le droit que vous souhaitez exercer et, si vous vous en souvenez, la date approximative de votre demande initiale — cela nous évite de vous réclamer d’autres informations pour vous retrouver.

Une pièce justificative d’identité ne vous sera demandée qu’en cas de doute raisonnable sur votre identité, conformément à l’article 12.6 du RGPD, et jamais par principe.

Nous répondons dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois si la demande est complexe ou si plusieurs demandes nous parviennent ; dans ce cas, vous en êtes informé dans le premier mois, avec le motif du report. L’exercice de ces droits est gratuit.

10 Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à l’autorité de contrôle française : la Commission nationale de l’informatique et des libertés.

Autorité de contrôle

Commission nationale de l’informatique et des libertés (CNIL)

Adresse

3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07

Téléphone

01 53 73 22 22

En ligne

www.cnil.fr

Nous saisir au préalable n’est pas une obligation : vous pouvez vous adresser directement à la CNIL. Nous préférons toutefois avoir l’occasion de corriger nous-mêmes ce qui doit l’être.

11 Sécurité

Les mesures suivantes protègent les données que vous nous transmettez, au sens de l’article 32 du RGPD.

• Chiffrement du transport. Le site est servi en HTTPS : ce que vous saisissez dans un formulaire circule chiffré entre votre navigateur et le serveur. Une réserve, que nous préférons écrire : le serveur répond aussi en HTTP simple, sans rediriger vers HTTPS. Une page ouverte en http:// est donc encore servie en clair. Cette redirection sera posée au plus tard avec le branchement des formulaires, c’est-à-dire avant qu’aucune donnée ne circule.
• Minimisation. Les champs obligatoires se limitent à ce qui est indispensable pour répondre — le nom, l’adresse e-mail, et la commune du projet pour les prises de vue. Tout le reste est facultatif, et un formulaire incomplet reste envoyable.
• Collecte réduite au strict minimum. Nous n’enregistrons aucune donnée de votre navigation : ni mesure d’audience, ni traceur, ni statistique de fréquentation. Ce qui n’est pas collecté ne peut pas fuir. Restent les journaux de connexion tenus par l’hébergeur (article 2.6), que nous ne consultons pas, ne recopions pas et ne recoupons avec rien.
• Accès restreint. Les demandes reçues ne seront accessibles qu’aux personnes qui les traitent. Les modalités concrètes — comptes nominatifs, authentification à deux facteurs, journalisation des accès — dépendent du service de réception et de la messagerie, qui ne sont pas encore choisis (article 6) : elles seront décrites ici quand ils le seront. Nous en faisons un critère de choix, pas une conséquence à constater après coup.
• Ressources auto-hébergées. Polices et bibliothèques sont servies depuis le domaine du site ; votre adresse IP n’est communiquée à aucun tiers du seul fait de l’affichage d’une page.

11.1 · Un pot de miel plutôt qu’un captcha

Les formulaires sont protégés du pourriel par un champ pot de miel : un champ invisible que les robots remplissent et que vous ne voyez jamais. S’il est rempli, l’envoi est abandonné sans bruit.

C’est un choix de confidentialité, pas une facilité technique. Un captcha fourni par un tiers vous ferait charger un script extérieur, transmettrait votre adresse IP et vos interactions à un prestataire — souvent une régie publicitaire — et vous imposerait un exercice de reconnaissance d’images qui exclut une partie des visiteurs, en particulier ceux qui utilisent une technologie d’assistance. Le pot de miel ne demande rien à personne, ne transmet rien à personne, et n’ajoute aucun obstacle à qui remplit le formulaire honnêtement.

12 Évolution de cette politique

Cette politique sera modifiée chaque fois que les traitements évolueront : branchement du formulaire à un service de réception, ajout d’un outil, changement d’hébergeur, ouverture d’un espace client. La date de dernière révision figure en tête de page et dans le tableau ci-dessous.

Une modification substantielle — nouvelle finalité, nouveau destinataire, allongement d’une durée — vous sera signalée par une mention visible sur cette page. Lorsqu’un traitement repose sur votre consentement, une nouvelle finalité suppose un nouveau consentement : elle ne s’appliquera jamais rétroactivement aux données déjà collectées.

Pour toute question sur ce document, écrivez à [ADRESSE E-MAIL DE CONTACT]. Les informations d’identification de l’éditeur figurent dans les mentions légales.