Politique de confidentialité.

01Nos principes

Trois engagements simples :

1. Le minimum nécessaire. Je ne collecte que ce qui m’est utile pour répondre à votre demande ou faire fonctionner le site.
2. Aucune revente, aucun partage. Vos données ne sont jamais vendues, échangées ou transmises à des tiers à des fins commerciales.
3. Vous gardez la main. Vous pouvez consulter, modifier ou supprimer vos données à tout moment, en m’écrivant.

02Responsable du traitement

Le responsable du traitement des données personnelles collectées via ce site est Noah Vernhet, entrepreneur individuel établi à Toulouse.

03Données collectées

Via le formulaire de contact

• Nom et prénom (obligatoire)
• Adresse email (obligatoire)
• Entreprise et téléphone (facultatif)
• Type de projet, budget, délais souhaités (facultatif)
• Le contenu de votre message

Les champs marqués obligatoires le sont contractuellement, pas légalement : sans eux je ne peux tout simplement pas vous répondre ni établir un devis. Ne pas les renseigner n’a pas d’autre conséquence que celle-là. Les champs facultatifs servent à préparer l’échange, les laisser vides ne change rien à la suite donnée à votre demande.

Via la newsletter

• Adresse email uniquement

Via la prise de rendez-vous

• Nom et prénom (obligatoire)
• Adresse email (obligatoire)
• Le message que vous joignez à la demande (facultatif)
• Le créneau choisi

Ces informations servent à créer le rendez-vous dans un agenda Google et à vous envoyer l’invitation avec le lien visio. Elles sont donc transmises à Google, y compris le message s’il est renseigné.

Via la navigation

Le site utilise Google Analytics 4 pour la mesure d’audience : pages vues, provenance du trafic, type d’appareil. L’outil dépose les cookies _ga et _ga_* et génère un identifiant de mesure, qui est une donnée personnelle au sens du RGPD.

Le site utilise également PostHog, qui dépose les cookies ph_* et génère un identifiant de visiteur, lequel est une donnée personnelle au sens du RGPD. PostHog sert à six choses :

• Mesure de parcours : pages vues, étapes de la prise de rendez-vous, envoi du formulaire de contact et de l’audit.
• Relecture de session : votre navigation est rejouée, pour voir où le site accroche. Sont enregistrés vos déplacements, vos clics, votre défilement et les adresses des pages visitées. Le contenu textuel des pages est masqué par défaut : seuls la navigation, l'en-tête et le pied de page restent lisibles. Tous les champs de saisie sont masqués à l’enregistrement : ni votre nom, ni votre email, ni votre téléphone, ni le contenu de vos messages, ni l’adresse que vous soumettez à l’audit ne sont enregistrés ni transmis. Ce qui est enregistré, ce sont vos déplacements dans des pages dont le contenu est public.
• Cartes de clics : positions des clics et profondeur de défilement, agrégées par page.
• Sondages : questions courtes affichées sur le site. Y répondre est facultatif ; vos réponses sont enregistrées dans PostHog.
• Tests A/B : deux versions d’une même page servies à des parts différentes du trafic, pour comparer laquelle fonctionne le mieux.
• Suivi des erreurs : les erreurs techniques rencontrées par votre navigateur, avec l’adresse de la page concernée et la trace technique associée.

Avant votre accord, et si vous refusez

Google Analytics n’est pas chargé du tout tant que vous n’avez pas accepté.

PostHog, lui, tourne en mode anonyme, et il faut être précis sur ce que ça veut dire : vos visites sont comptées, même si vous refusez. Ce mode se distingue du précédent sur trois points, et ce sont eux qui le rendent légitime sans consentement :

• Rien n’est écrit sur votre appareil. Ni cookie, ni stockage local. La seule exception est l’indicateur qui mémorise votre refus, sans lequel il faudrait vous reposer la question à chaque page.
• L’identifiant n’est pas le vôtre. Il est recalculé par les serveurs de PostHog à partir de votre adresse IP et de votre navigateur, mélangées à un sel qui change chaque jour et n’est pas conservé. Il n’est donc pas réversible, et deux visites séparées par un jour ne peuvent pas être reliées. Votre adresse IP n’est pas stockée.
• Ni relecture de session, ni sondage, ni test A/B. Ces trois-là ont besoin de stocker sur l’appareil, PostHog les désactive lui-même dans ce mode.

Ce qui reste mesuré : les pages vues, la provenance du trafic, le type d’appareil, les performances d’affichage et les erreurs techniques. Aucune de ces données ne permet de vous identifier ni de vous suivre d’un jour à l’autre. La base légale est l’intérêt légitime (art. 6.1.f du RGPD) : savoir quelles pages sont lues et lesquelles se chargent mal est nécessaire pour faire fonctionner ce site, et l’atteinte à votre vie privée est nulle dès lors que rien n’est déposé chez vous et que rien ne vous désigne.

Après votre accord

Accepter fait basculer PostHog en mode complet : le cookie ph_* est déposé, la relecture de session, les sondages et les tests A/B s’activent, et Google Analytics est chargé. Vous pouvez revenir sur ce choix à tout moment depuis la page cookies : les cookies _ga* et ph_* sont alors supprimés, avec les données PostHog conservées localement par votre navigateur, et la mesure revient au mode anonyme décrit ci-dessus.

04Finalités et bases légales

Aucune décision produisant un effet juridique ou vous affectant de manière significative n’est prise de façon automatisée, et aucun profilage n’est réalisé. L’outil d’audit analyse l’adresse d’un site, pas la personne qui la soumet, et son résultat n’est pas conservé pour vous qualifier.

05Durée de conservation

• Demandes de contact non transformées : 3 ans à compter du dernier échange.
• Données client (devis, factures) : 10 ans (obligation comptable).
• Inscription newsletter : tant que vous restez inscrit, supprimée immédiatement à la désinscription.
• Statistiques Google Analytics : 14 mois, durée réglée dans la propriété. Passé ce délai, les données au niveau utilisateur sont supprimées automatiquement.
• Statistiques PostHog : le cookie ph_* posé sur votre appareil expire au bout de 12 mois. Les enregistrements de session sont conservés 30 jours, durée réglée dans le projet, puis supprimés définitivement : PostHog ne peut pas les restaurer. Les événements et les réponses aux sondages sont conservés sur l’instance européenne selon la durée de rétention de l’offre souscrite. Vous pouvez en demander la suppression à tout moment (voir « Vos droits »).

06Destinataires

Vos données sont accessibles uniquement à Noah Vernhet et, le cas échéant, aux prestataires techniques suivants, tous engagés contractuellement à respecter le RGPD :

• IONOS (hébergement VPS) : données hébergées dans l’Union européenne.
• Resend (envoi d’emails transactionnels) : société américaine. Le contrat de sous-traitance signé prévoit les clauses contractuelles types de la Commission européenne.
• Google Analytics (mesure d’audience) : Google Ireland Limited, avec transfert vers Google LLC aux États-Unis, encadré par le cadre de protection des données UE–États-Unis (Data Privacy Framework). Activé sur votre consentement uniquement.
• PostHog (mesure, relecture de session et sondages) : PostHog Inc., société américaine, dont l’instance européenne (eu.i.posthog.com) est utilisée ici. Les données sont stockées en Allemagne, et les sous-traitants de PostHog qui y accèdent sont établis en Allemagne et en France, à une exception près : le réseau de diffusion Cloudflare fait transiter les données par ses points de présence répartis dans le monde. Ce transit est couvert par la chaîne de sous-traitance de PostHog. Un contrat de sous-traitance signé le 31 août 2026 intègre les clauses contractuelles types de la Commission européenne. Activé sur votre consentement uniquement.
• Google Agenda et Google Meet (prise de rendez-vous) : Google Ireland Limited. La création du créneau transmet votre nom, votre adresse email et, s’il est renseigné, le message joint à votre demande. Google vous envoie ensuite l’invitation et le lien visio. Transfert vers Google LLC aux États-Unis encadré par le cadre de protection des données UE–États-Unis.
• Stripe (paiement, uniquement pour les clients).

Les transferts hors Union européenne sont donc limités à ces prestataires et encadrés soit par une décision d’adéquation, soit par des clauses contractuelles types. Une copie des garanties qui encadrent ces transferts peut être obtenue sur simple demande, à l’adresse indiquée dans la section « Vos droits » ci-dessous.

07Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez à tout moment des droits suivants sur vos données :

• Accès : savoir quelles données je détiens sur vous.
• Rectification : corriger une donnée inexacte.
• Effacement : demander la suppression de vos données. Pour les données de mesure, qui ne portent aucun nom, retrouver votre session suppose que vous me donniez de quoi l'identifier, par exemple la date et l'heure de votre visite. À défaut, les enregistrements disparaissent d'eux-mêmes au bout de 30 jours.
• Limitation : geler le traitement le temps d’un échange.
• Portabilité : récupérer vos données dans un format structuré.
• Opposition : refuser un traitement basé sur l’intérêt légitime.
• Retrait du consentement : à tout moment, sans justification.
• Réclamation : saisir la CNIL, autorité de contrôle compétente, si vous estimez que vos droits ne sont pas respectés.

08Sécurité

Les données transitent en HTTPS de bout en bout. Les bases sont chiffrées au repos. L’accès aux outils d’administration (hébergement, mail, paiement) est protégé par mot de passe long et authentification à deux facteurs. L’interface d’hébergement n’est en outre joignable que par tunnel VPN privé.

09Modifications

Cette politique peut être mise à jour pour refléter une évolution des pratiques ou de la réglementation. La date en haut de page reflète la dernière modification. En cas de changement substantiel, les abonnés newsletter seront informés par email.