Politique de confidentialité
Version 1.0.0. Ce document dit ce que ce site fait de vos données — pas ce qu'il pourrait faire un jour.
Qui est responsable
ILLITH, 101 rue Bouthier, 33100 Bordeaux. Pour toute question sur vos données : contact@illith.com.
Ce qui est collecté, et pourquoi
| Finalité | Données | Base légale | Conservation | Destinataires |
|---|---|---|---|---|
| Répondre à un message envoyé par le formulaire de contact | Nom, adresse électronique, numéro de téléphone, sujet, contenu du message, dates du premier et du dernier envoi, nombre de messages, et le « user-agent » — la carte de visite que votre navigateur envoie à chaque requête. S'ajoute l'adresse IP, le pays et la ville s'ils sont connus — visibles seulement dans l'administration, jamais dans une query publique. Une empreinte de cette adresse — le condensé de l'adresse et d'un secret — sert uniquement à compter les envois et à arrêter les rafales automatisées | Intérêt légitime — répondre à quelqu'un qui nous écrit | 3 ans après le dernier message reçu — 1095 jours exactement, appliqués par une purge automatique mensuelle qui supprime la fiche avec tout son historique. Avant ce terme, une suppression depuis l'administration l'efface immédiatement. | Convex, Inc. (hébergement de la base, États-Unis), et le service d'automatisation configuré le cas échéant (webhook de lead) |
| Répondre, dans le chat du site, aux questions d'un visiteur et qualifier sa demande | Adresse électronique, nom le cas échéant, contenu des messages, horodatages, identifiant de fil, adresse IP, pays et ville s'ils sont connus — visibles seulement dans l'administration —, empreinte d'origine — le condensé de l'adresse IP et d'un secret —, et le user-agent s'il est transmis. L'adresse électronique figure aussi en titre du fil côté assistant | Intérêt légitime — répondre à quelqu'un qui nous écrit | 3 ans après le dernier message reçu — 1095 jours exactement, appliqués par une purge automatique mensuelle qui supprime la fiche avec tout son historique. Avant ce terme, une suppression depuis l'administration l'efface immédiatement. | Convex, Inc. (hébergement de la base, États-Unis) ; OpenRouter, Inc. (acheminement des réponses de l'assistant) ; et, le cas échéant, les services que le responsable a connectés depuis l'administration (agenda, serveurs d'assistance) |
| Suivre, dans l'administration, le traitement d'une demande | Historique des déplacements de la fiche — statut d'origine, statut d'arrivée, date — et le nom ainsi que l'identifiant de l'administrateur auteur du geste, recopiés au moment où il est fait | Intérêt légitime — savoir depuis quand une demande attend, et qui l'a traitée | Même sort que la fiche à laquelle l'historique se rattache : supprimé avec elle, conservé tant qu'elle l'est | Convex, Inc. (hébergement de la base, États-Unis) |
| Traiter l'achat de l'offre Complet, payé via Stripe | L'identifiant de la session de paiement Stripe, l'adresse électronique communiquée à Stripe au moment du paiement — quand Stripe la transmet —, le montant payé, sa devise, et la date du paiement | Exécution du contrat de vente — livrer ce qui a été payé | Conservé sans limite : aucune purge automatique n'existe aujourd'hui pour cette table | Convex, Inc. (hébergement de la base, États-Unis), et Stripe Payments Europe, Ltd. (traitement du paiement) |
| Mesurer l'audience du site | Page vue, page d'origine, pays, type d'appareil — sans cookie. L'adresse IP sert à en déduire le pays et l'identifiant de session, puis n'est pas conservée. | Intérêt légitime — une mesure anonyme, exemptée de consentement | 13 mois : une purge mensuelle supprime, sur notre instance Umami, toute mesure plus ancienne — pages vues, replays, données d'événement. Une session n'est retirée qu'une fois disparue la dernière mesure qui s'y rattache, ce qui peut la conserver quelques semaines de plus. | Umami, auto-hébergé sur notre propre serveur |
| Enregistrer le choix exprimé sur les cookies | Le choix lui-même, sa date, la version de la politique acceptée, et un identifiant d'appareil aléatoire. S'ajoute une empreinte de votre adresse IP — le condensé de cette adresse et d'un secret, jamais l'adresse elle-même — qui sert uniquement à limiter le nombre d'enregistrements et à arrêter les rafales automatisées | Obligation légale — pouvoir prouver le consentement | Dans le navigateur : 365 jours. En base, quand la traçabilité est activée : 365 jours, puis une purge automatique mensuelle supprime la preuve. C'est la durée de validité du consentement lui-même : passé ce délai le bandeau redemande son avis, et l'ancienne réponse n'autorise plus rien. | Personne, sauf si la traçabilité est activée — dans ce cas Convex, Inc. (hébergement de la base, États-Unis) |
| Gérer les comptes de l'administration | Nom, adresse électronique, rôle, état de bannissement et son motif, empreinte du mot de passe, nom d'affichage et photo de profil ; préférences de notification (cloche, e-mail) ; lignes de cloche (destinataire, type, libellé, identifiant de cible) | Intérêt légitime — permettre aux personnes autorisées d'administrer le site, et à personne d'autre | Jusqu'à la suppression du compte — pour les tables de comptes et les préférences de notification. Les lignes de cloche partent avec le compte, et au-delà au bout de 90 jours. Le journal d'administration, décrit plus bas, conserve toutefois sans limite l'adresse électronique d'un compte dont le rôle a changé ou qui a été supprimé : supprimer un compte ne l'efface donc pas de ce journal. | Convex, Inc. (hébergement de la base, États-Unis) |
| Ouvrir une session d'administration, et protéger cet accès | Adresse IP et « user-agent » de chaque session ouverte, avec ses dates de création et d'expiration ; compteurs de tentatives de connexion, dont la clé associe une adresse IP et une adresse électronique | Intérêt légitime — sécurité de l'accès : reconnaître une session ouverte, la révoquer, et arrêter une attaque par essais successifs | La session vit jusqu'à la déconnexion, sa révocation, ou son expiration (durée par défaut de Better Auth, non modifiée ici). Rien ne supprime ensuite la ligne expirée ni les compteurs de tentatives. | Convex, Inc. (hébergement de la base, États-Unis) |
| Inviter une personne à rejoindre l'administration | Adresse électronique de l'invité, rôle proposé, identité de la personne qui invite, empreinte du jeton d'invitation et sa date d'expiration | Intérêt légitime — l'accès est sur invitation seule, l'inscription libre étant désactivée | L'invitation reste en base après avoir été acceptée, jusqu'à ce qu'elle soit supprimée depuis l'administration | Convex, Inc. (hébergement de la base, États-Unis), et Resend (acheminement de l'e-mail d'invitation) lorsqu'une clé d'envoi est configurée |
| Réinitialiser le mot de passe d'un compte d'administration | L'empreinte du lien de réinitialisation envoyé par e-mail — jamais le lien lui-même —, l'identifiant du compte qu'il ouvre, et sa date d'expiration | Intérêt légitime — l'accès étant sur invitation seule, c'est le seul moyen de reprendre la main sur un compte dont le mot de passe est perdu | Une heure au plus : le lien expire au bout d'une heure, et la ligne est supprimée dès qu'il est utilisé. Les liens expirés sans avoir servi sont effacés à la demande suivante, quelle qu'elle soit. | Convex, Inc. (hébergement de la base, États-Unis), et Resend (acheminement de l'e-mail) lorsqu'une clé d'envoi est configurée |
| Savoir qui a publié, modifié ou téléversé quoi | Identifiant de l'administrateur qui a créé ou modifié une page, un article, une ressource, une redirection ou un fichier de la médiathèque, qui a enregistré un jeton d'accès à un service tiers, ou qui a réécrit le texte d'un e-mail envoyé par le site — et le nom du fichier téléversé | Intérêt légitime — rattacher une modification à son auteur, ce sans quoi un site à plusieurs mains n'est pas relisible | Tant que le contenu concerné existe | Convex, Inc. (hébergement de la base, États-Unis) |
| Savoir qui a changé un rôle, un accès ou un réglage | Le nom d'affichage et l'identifiant de l'administrateur auteur du geste, recopiés au moment où il est fait ; la nature du geste ; et ce qu'il visait — selon le geste : l'adresse électronique du compte concerné (changement de rôle, suppression de compte, réinitialisation de mot de passe) ; l'adresse électronique d'une personne invitée à rejoindre l'administration, y compris si elle n'accepte jamais l'invitation et n'a donc jamais de compte ici ; le nom d'un jeton d'accès (jamais sa valeur, pas même tronquée) ; l'adresse d'une page, d'un article ou d'une ressource publié, dépublié ou supprimé ; le titre d'un e-mail type dont le texte ou l'envoi a été modifié (jamais son contenu) ; le nom de domaine d'expédition des e-mails déclaré chez le service d'envoi ; ou l'identifiant interne d'une fiche de contact supprimée — jamais l'adresse ni le nom de la personne qui l'avait écrite, pour que ce journal ne défasse pas l'effacement de la fiche | Intérêt légitime — sécurité : pouvoir dire qui a changé un rôle, écrit un jeton d'accès ou retiré une page du site, ce qu'aucune autre donnée conservée ne permet de reconstituer après coup | Conservé sans limite. Rien ne purge ce journal, et c'est délibéré : un journal qu'on efface à volonté ne prouve plus rien. La suppression d'un compte d'administration ne retire donc pas les lignes qui le nomment, et une invitation refusée, expirée ou révoquée n'en retire pas non plus l'adresse invitée. | Convex, Inc. (hébergement de la base, États-Unis) |
| Afficher les avis Google publics de l'établissement | Le nom d'affichage, la note, le texte et la date relative d'un avis déjà publié sur la fiche Google de l'établissement, recopiés depuis Places API | Intérêt légitime — montrer les avis publics de l'école | Remplacés à chaque rafraîchissement, une fois par jour, ou à la demande depuis l'administration. Un avis retiré chez Google disparaît au prochain passage réussi. | Personne d'autre. Le cache reste sur notre serveur. Aucune balise Google n'est chargée dans le navigateur. |
Ce qui n'est pas fait
Aucune donnée n'est vendue, louée ou échangée. Aucun profilage automatisé ne produit d'effet juridique à votre égard. Aucun compte n'est créé à votre insu : l'accès à l'administration est sur invitation, et l'inscription libre est désactivée.
Où sont les données
La base de données est hébergée par Convex, Inc., société américaine : tout ce que le tableau ci-dessus désigne comme stocké en base — votre message y compris — est donc transféré aux États-Unis. Convex encadre ce transfert par les clauses contractuelles types de la Commission européenne (module 2 de la décision d'exécution (UE) 2021/914), et non par le Data Privacy Framework ; son contrat de sous-traitance et la liste de ses propres sous-traitants sont publiés sur convex.dev/legal/dpa.
Convex peut aussi s'installer sur un serveur qu'on héberge soi-même, auquel cas il n'y a pas de transfert du tout. Si vous reprenez ce template : vérifiez lequel des deux décrit votre déploiement avant de publier ce paragraphe. La réponse est dans votre PUBLIC_CONVEX_URL — une adresse en convex.cloud désigne le service américain.
La mesure d'audience tourne sur notre propre serveur, en Europe. Les e-mails d'invitation à l'administration, lorsqu'ils sont activés, passent par Resend, également aux États-Unis. Si des traceurs publicitaires sont activés — et seulement si vous les avez acceptés — les données correspondantes partent vers Google et Meta, y compris aux États-Unis, dans le cadre du Data Privacy Framework. C'est précisément ce que la case « Publicité » vous permet de refuser.
Vos droits
Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation de leur traitement, leur portabilité, et vous opposer à un traitement fondé sur l'intérêt légitime. Écrivez à contact@illith.com — nous répondons sous un mois.
Une réponse qui ne vous satisfait pas se conteste auprès de la CNIL, 3 place de Fontenoy, 75007 Paris, cnil.fr/fr/plaintes.
Cookies
Le détail des traceurs, et le moyen de revenir sur votre choix à tout moment, sont dans la politique de cookies.
Modifications
Une modification de fond change le numéro de version en tête de cette page et vous est redemandée par le bandeau : un accord donné à une version antérieure ne portait pas sur ce qui a été ajouté depuis.