Politique de confidentialité

Ce que je collecte

Ce site connaît deux traitements, et deux seulement. Le premier est votre demande : elle n'existe que si vous m'écrivez vous-même, par le formulaire de contact ou par WhatsApp. Le second est une mesure d'audience, qui ne se déclenche que si vous l'avez acceptée, et qui est décrite plus bas. Aucun des deux ne sert à de la publicité, ni à du profilage, ni à une revente.

Les huit durées sont les mêmes, et elles courent toutes à compter de notre dernier échange, pas de votre premier message : tant que nous nous écrivons, rien n'est effacé ; trois ans après le dernier mot, tout l'est. Les champs marqués facultatif le sont réellement : votre demande part sans eux.

La page d'origine mérite une explication, puisque vous ne la voyez pas. Ce champ dit d'où vous arriviez quand vous avez ouvert le formulaire, et il ne transmet jamais une adresse complète : le seul nom du fichier si vous veniez d'une autre page de ce site, le seul nom de domaine si vous veniez d'ailleurs, et « accès direct » si vous n'aviez pas de page de départ. Il sert à savoir quelle page amène des demandes, sans installer de traceur. La mesure d'audience décrite plus bas ne fait pas double emploi avec lui : ce champ fonctionne pour tout le monde, y compris pour vous si vous refusez la mesure, il ne dit rien de plus que le nom d'une page, et il ne part chez personne d'autre que moi.

Ce que j'en fais

Ces données servent uniquement à répondre à votre demande. Elles ne sont ni revendues, ni partagées avec un tiers à des fins commerciales, ni utilisées pour vous démarcher en dehors de l'échange que vous avez engagé.

Où elles sont stockées

Le formulaire de contact est acheminé par Web3Forms, service exploité par Web3Creative, société établie en Inde, qui agit comme sous-traitant pour mon compte. Ce rôle n'est pas une façon de parler : il est régi par l'accord de traitement des données que ce service publie à l'adresse web3forms.com/dpa (nouvel onglet), qui reprend les obligations de l'article 28 du RGPD.

Les données transitent par son infrastructure, fournie par Amazon Web Services, Cloudflare et Hetzner, et y sont chiffrées en transit et au repos. Web3Forms conserve les demandes trois ans au maximum à compter de leur envoi, puis les supprime automatiquement.

Pour écarter les envois automatisés, ce service peut transmettre votre adresse IP et votre adresse email à deux prestataires antispam, CleanTalk et Akismet.

Ce site est hébergé par Netlify (Netlify, Inc., États-Unis), qui conserve des journaux de connexion techniques.

Les notifications me parviennent enfin dans une boîte de réception Gmail, fournie par Google. C'est là que votre message est conservé pendant les trois ans annoncés, et c'est de là que je vous réponds.

Ces données sortent donc de l'Union européenne. Ces transferts s'appuient sur les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), que l'accord de traitement de Web3Forms intègre expressément pour les transferts depuis l'Espace économique européen. C'est le cadre que le chapitre V du RGPD prévoit pour un pays qui ne bénéficie pas d'une décision d'adéquation, ce qui est le cas de l'Inde.

Si vous m'écrivez sur WhatsApp

Le bouton WhatsApp du site ne collecte rien de lui-même : il ouvre une conversation dans votre application. Dès que vous m'écrivez, je reçois votre numéro de téléphone, le nom que vous avez choisi d'afficher et le contenu de vos messages. Je m'en sers pour vous répondre, et pour rien d'autre.

Ces échanges sont acheminés et hébergés par WhatsApp Ireland Limited (groupe Meta), établie en Irlande, selon ses propres conditions et sa propre politique de confidentialité. Le contenu des messages est chiffré de bout en bout, mais les données techniques liées à leur acheminement restent traitées par ce service, sur lequel je n'ai aucune main. Comme pour le formulaire, je conserve la conversation trois ans après le dernier échange.

Si vous préférez ne rien confier à ce service, le formulaire de contact et le mail direct rendent exactement le même service.

Les cookies de mesure d'audience, et votre choix

Depuis le 28 août 2026, ce site peut mesurer son audience avec Google Analytics 4. C'est un traitement distinct de votre demande de contact : il ne partage ni ses données, ni sa base légale, ni sa durée, et le tableau plus haut ne le couvre pas.

Rien n'est mesuré tant que vous n'avez pas dit oui. À votre première visite, un bandeau vous pose la question. Tant que vous n'avez pas cliqué sur Accepter, le script de Google n'est pas chargé, aucun cookie n'est déposé, et rien ne part. Ce n'est pas un réglage que l'on pourrait oublier : le code de Google n'est écrit dans aucune page de ce site, il n'est fabriqué qu'au moment de votre accord. Si vous ignorez le bandeau, ou si vous quittez la page, vous n'apparaissez dans aucun chiffre.

Refuser est exactement aussi simple qu'accepter : deux boutons de même taille, de même couleur, côte à côte, sur le même écran, sans second clic ni menu à ouvrir.

À quoi cela sert. À une seule chose : savoir quelles pages de ce site sont lues, d'où viennent les visiteurs et sur quel appareil, pour savoir où porter l'effort. Voici ce que Google Analytics enregistre :

• les pages consultées, leur ordre et la durée de la visite ;
• le site ou le moteur de recherche qui vous a amené ici ;
• le type d'appareil, le système, le navigateur, la langue et la définition de l'écran ;
• une localisation approximative, déduite de votre adresse IP : le pays, la région, parfois la ville ;
• un identifiant tiré au hasard, déposé dans votre navigateur, qui permet de reconnaître deux visites de la même personne sans jamais savoir qui elle est.

Votre adresse IP n'est pas conservée. Google Analytics 4 s'en sert pour déduire le pays, puis l'écarte : elle ne figure ni dans les rapports ni dans les données brutes. Les fonctionnalités publicitaires du service sont par ailleurs désactivées dans le code de ce site, ce qui coupe le rapprochement de votre visite avec les identifiants publicitaires de Google. Je n'ai de mon côté aucun moyen de vous reconnaître dans ces chiffres, et je ne les recoupe avec rien : ni avec vos demandes de contact, ni avec quoi que ce soit d'autre.

Les cookies de la mesure, et leur durée

Accepter la mesure dépose deux cookies, et deux seulement. Ils sont posés par ce site sur votre navigateur, et lus par Google Analytics.

Ces treize mois ne sont pas le réglage d'usine de Google, et la différence vaut d'être dite. Google livre ces deux cookies pour deux ans, et repousse leur échéance à chaque nouvelle visite, si bien qu'ils ne meurent jamais chez un visiteur régulier. Les deux réglages ont été changés dans le code de ce site pour suivre la recommandation de la CNIL, qui borne la vie d'un traceur à treize mois sans prorogation automatique. La durée court donc depuis votre première visite, et non depuis la dernière.

Votre réponse au bandeau, elle, n'est pas un cookie : elle est écrite dans la mémoire locale de votre navigateur, sous le nom soralva-mesure, et n'est envoyée nulle part. Elle est conservée six mois, la durée que la CNIL donne comme bonne pratique, puis la question vous est reposée. La CNIL range ce stockage parmi ceux qui sont dispensés de consentement, sa seule fonction étant de garder votre choix : sans lui, il faudrait vous redemander votre accord à chaque page.

Qui reçoit ces données, et où elles vont

Le service est fourni par Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande), qui agit comme sous-traitant pour mon compte. Les données sont traitées sur l'infrastructure de Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis). Le détail de ce que Google en fait figure dans sa politique de confidentialité (nouvel onglet).

Ces données sortent donc de l'Union européenne. Le transfert s'appuie sur la décision d'adéquation adoptée par la Commission européenne le 10 juillet 2023 au titre du cadre de protection des données UE - États-Unis, auquel Google LLC est certifié, et que Google complète par les clauses contractuelles types de la Commission (décision d'exécution (UE) 2021/914) pour les transferts que ce cadre ne couvre pas. C'est le mécanisme prévu par le chapitre V du RGPD, et la CNIL admet depuis cette date les transferts vers les entités américaines certifiées.

Ce qu'il faut savoir malgré ce cadre, parce que le taire serait malhonnête : en février 2022, avant cette décision d'adéquation, la CNIL a mis en demeure des éditeurs français qui utilisaient Google Analytics, au motif que les transferts vers les États-Unis n'étaient alors couverts par aucun cadre valable. La décision du 10 juillet 2023 a changé ce point précis, mais elle est elle-même contestée devant les juridictions européennes. Si le sujet vous préoccupe, refusez : rien ne part, et vous ne perdez aucune fonction de ce site.

Combien de temps. Google Analytics conserve les données rattachées à un visiteur ou à un événement pendant quatorze mois au maximum, la durée la plus longue que permette la version gratuite du service. Au-delà, ces données sont effacées ; seuls demeurent des totaux agrégés, qui ne se rapportent plus à personne.

Revenir sur votre choix, à tout moment

Cette mesure repose sur votre consentement, et sur rien d'autre : ni sur mon intérêt légitime, ni sur un contrat. C'est l'article 6.1.a du RGPD, et la conséquence en est directe : vous pouvez retirer votre accord à tout moment, aussi facilement que vous l'avez donné, et sans avoir à vous justifier (article 7.3). Le retrait ne remet pas en cause ce qui a été mesuré avant, mais il arrête tout pour la suite.

Le bouton ci-dessous rouvre le bandeau sur cette page. Il efface d'abord votre réponse et les deux cookies, puis vous repose la question : entre les deux, plus rien n'est mesuré. Le lien Cookies, présent dans le pied de page des douze pages du site, mène ici.

Sans JavaScript, il n'y a rien à retirer, et c'est pour cela que ce bouton peut se permettre d'en dépendre : sans JavaScript, aucun bandeau ne s'affiche, aucun script de Google n'est chargé, aucun cookie n'est déposé. Vous pouvez aussi effacer les cookies de ce site depuis les réglages de votre navigateur, ou installer le module de désactivation publié par Google (nouvel onglet), qui vaut pour tous les sites que vous visitez et pas seulement pour celui-ci.

Sur quelle base légale

Ce site en compte trois : deux dans le tableau du haut, une pour la mesure d'audience. Il vaut mieux dire laquelle fait quoi, parce que ce sont elles qui décident de vos droits.

L'article 6.1.b du RGPD, les mesures précontractuelles prises à votre demande, couvre tout ce que vous saisissez vous-même : ce que vous attendez, votre nom, votre email, votre téléphone, le nom de votre établissement et votre message. Vous n'êtes jamais tenu de m'écrire, et rien n'est collecté tant que vous ne le faites pas.

L'article 6.1.f du RGPD, l'intérêt légitime, couvre les deux données que vous ne saisissez pas : votre adresse IP, jointe par le service qui achemine le formulaire pour bloquer les envois automatisés, et la page d'origine, qui me dit quelle page de ce site sert à quelque chose. L'intérêt en cause est de garder un formulaire qui fonctionne et de savoir où porter l'effort, sans dépendre d'aucun traceur ni de la réponse que vous avez donnée au bandeau. Ces deux données ne servent à rien d'autre, ne sont recoupées avec rien, et ne quittent pas le circuit décrit plus haut.

L'article 6.1.a du RGPD, le consentement, ne couvre qu'une chose : la mesure d'audience. C'est la base légale la plus exigeante des trois, et c'est délibéré. La CNIL admet, sous conditions strictes, qu'un outil de mesure d'audience se passe de consentement, mais Google Analytics ne remplit pas ces conditions : les données y sont réutilisées par le fournisseur. Invoquer ici l'intérêt légitime, comme le font beaucoup de sites, serait donc faux. C'est aussi ce qui vous donne, sur cette mesure et sur elle seule, un droit de retrait immédiat et sans motif.

Cette distinction n'est pas une subtilité de rédaction : elle décide de vos droits, comme la section suivante l'explique.

Vos droits

Conformément au RGPD, vous pouvez à tout moment me demander, en écrivant à contact@soralva.com :

• l'accès à vos données, et une copie de celles que je détiens (article 15) ;
• leur rectification, si l'une d'elles est inexacte (article 16) ;
• leur effacement (article 17) ;
• la limitation du traitement, qui gèle vos données sans les supprimer, le temps qu'une contestation soit tranchée (article 18) ;
• leur portabilité : les recevoir dans un format lisible par une machine, ou me demander de les transmettre à quelqu'un d'autre (article 20).

Je réponds sous un mois.

Vous disposez en outre du droit de retirer votre consentement à la mesure d'audience (article 7.3), à tout moment et sans avoir à m'écrire : le bouton de la section Revenir sur votre choix le fait en un clic, depuis n'importe quelle page par le lien Cookies du pied de page.

Vous disposez enfin du droit d'opposition de l'article 21, mais seulement sur la part du traitement qui repose sur l'intérêt légitime, c'est-à-dire votre adresse IP et la page d'origine. Il ne s'étend pas à ce que vous m'avez écrit vous-même, qui relève de la demande que vous avez engagée et non de mon intérêt à moi. Dire l'inverse serait vous annoncer un droit sans effet.

En pratique, la distinction ne vous coûte rien : un mot suffit pour que j'efface l'ensemble de vos données, celles que vous avez saisies comprises, et que je cesse de vous écrire.

Si ma réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL, l'autorité française de protection des données, sur cnil.fr (nouvel onglet).

Responsable du traitement

Rodolphe Henrion, éditeur de ce site. Voir les mentions légales pour les coordonnées complètes.