1. L’essentiel
- Le contenu de votre PDF n’est pas enregistré : il est transmis au moteur d’analyse le temps de produire le relevé, qui s’affiche dans votre navigateur.
- Nous conservons des données sur l’analyse : empreinte numérique (SHA-256) du fichier, statut, score, nombre de pages et codes des indices, ainsi que votre solde d’analyses.
- Le Service n’utilise ni publicité, ni outil de mesure d’audience.
- Nos prestataires sont Clerk (connexion), Supabase (base de données), Vercel (hébergement) et Stripe (paiement).
- Vous exercez vos droits en écrivant à contact@techstride-consulting.com.
2. Responsable du traitement
Le responsable du traitement des données de compte et d’utilisation est Techstride Consulting (SAS, 977 813 237 RCS Versailles), 3 rue des Éparges, 78800 Houilles. Contact pour toute question ou demande : contact@techstride-consulting.com.
3. Données traitées
| Donnée | À quoi elle sert | Base légale (RGPD, article 6) |
|---|---|---|
| Le PDF que vous déposez (contenu) | Produire le relevé, sans enregistrement | Exécution du contrat (6.1.b) |
| Résumé de l’analyse : empreinte SHA-256 du fichier, statut, score, nombre de pages et de pages analysées, codes des indices, mode de décompte, date | Tenir le décompte des analyses (gratuites, crédits, quota Cabinet), ne pas décompter deux fois une relance, prévenir les abus | Exécution du contrat (6.1.b) ; intérêt légitime (6.1.f) |
| Identifiant de compte Clerk, offre, statut et fin de période d’abonnement, solde et historique des crédits | Gérer votre compte, vos droits d’accès et votre solde | Exécution du contrat (6.1.b) |
| Identifiant client Stripe et événements de paiement traités (identifiant, type, date) | Rattacher les paiements à votre compte, créditer les rapports, activer l’abonnement sans double traitement | Exécution du contrat (6.1.b) |
| Clés d’API : nom donné à la clé, préfixe d’affichage, empreinte (hash SHA-256) de la clé, dates de création, de dernier usage et de révocation ; compteurs de requêtes par minute | Authentifier vos appels, limiter le débit, protéger le Service | Exécution du contrat (6.1.b) ; intérêt légitime : sécurité (6.1.f) |
| Données de connexion gérées par Clerk : adresse e-mail et autres informations selon la méthode de connexion choisie | Créer et sécuriser votre compte | Exécution du contrat (6.1.b) |
| Données de paiement (moyen de paiement, adresse de facturation, e-mail) collectées et conservées par Stripe (via Link) | Encaisser, facturer, appliquer la TVA, gérer remboursements et litiges | Exécution du contrat (6.1.b) ; obligations légales (6.1.c) |
| Journaux techniques tenus par l’hébergeur, par exemple adresse IP, date et adresse demandée | Sécurité et bon fonctionnement du site | Intérêt légitime (6.1.f) |
| Vos e-mails et messages adressés à l’Éditeur | Répondre à vos demandes | Intérêt légitime (6.1.f) ; exécution du contrat (6.1.b) |
| Préférence de thème clair ou sombre, stockée dans votre navigateur | Mémoriser votre choix d’affichage | Exempté de consentement (voir « Cookies ») |
| Données de navigation collectées par Google Analytics (pages consultées, provenance, type d’appareil), uniquement si vous avez donné votre consentement | Mesurer l’audience du Service et l’améliorer | Consentement (6.1.a) |
4. Messages envoyés par le formulaire de contact
Quand vous écrivez à l’Éditeur depuis la page Contact, ou depuis le champ « Un avis, un besoin ? » des pages Analyse, Tarifs et Compte, nous enregistrons :
- votre message et sa catégorie (avis, besoin, bug, question ou autre) ;
- votre adresse e-mail, uniquement si vous la renseignez : le champ est facultatif ;
- l’identifiant de votre compte, si vous êtes connecté ;
- une empreinte salée de votre adresse IP (calculée avec un secret du Service : l’adresse elle-même n’est jamais enregistrée) et la date d’envoi.
Ces données servent à vous répondre, à améliorer le Service et à prévenir les abus (le nombre d’envois est limité par heure et par jour). Base légale : intérêt légitime (6.1.f). Elles sont conservées 24 mois, puis supprimées. Vous pouvez demander l’accès, la rectification ou l’effacement d’un message en écrivant à contact@techstride-consulting.com. Ne collez pas dans ce formulaire le contenu d’un document confidentiel : il n’accepte que du texte.
5. Vos documents
Le PDF est envoyé depuis votre navigateur (ou par l’API) au serveur du Service, puis au moteur d’analyse, exécuté sur la même plateforme d’hébergement. Son contenu est lu en mémoire pour produire le relevé ; il n’est pas écrit dans notre base de données.
Archivage : option non activée
Le code du Service prévoit une option d’archivage des PDF sur Google Cloud Storage. Cette option n’est pas activée à la date de cette version. Si elle devait l’être, cette politique serait mise à jour avant l’activation (finalité, durée, localisation, prestataire).
Documents de tiers
Un document peut contenir des données personnelles de tiers ou des données sensibles. Ne le déposez que si vous avez le droit de l’examiner. Pour ces contenus, l’Éditeur n’intervient que pour produire le relevé que vous demandez.
6. Ce que nous ne faisons pas
- Le Service n’utilise aucune publicité ni traceur de profilage. Il ne mesure l’audience qu’avec Google Analytics, et seulement si vous y avez consenti (voir « Cookies »).
- Aucune décision individuelle automatisée au sens de l’article 22 du RGPD n’est prise à votre sujet : le relevé est un indice technique, la décision reste humaine.
- Nous ne vous demandons pas votre numéro de carte bancaire : il est saisi sur la page de paiement de Stripe.
7. Prestataires et destinataires
Nous faisons appel aux prestataires suivants. Ils traitent des données pour notre compte ou, dans le cas de Stripe, pour le leur en tant que vendeur officiel.
| Prestataire | Rôle | Données concernées | Localisation et garanties |
|---|---|---|---|
| Clerk, Inc. (États-Unis) | Authentification et gestion des comptes | Identité et données de connexion | Traitement aux États-Unis ; Clerk indique être certifié au Data Privacy Framework UE–États-Unis et prévoir des clauses contractuelles types |
| Supabase (Supabase Pte. Ltd.) | Base de données | Résumés d’analyse, comptes, crédits, empreintes de clés | Région eu-west-3 (Paris), infrastructure AWS ; clauses contractuelles types pour les transferts éventuels |
| Vercel Inc. (États-Unis) | Hébergement et exécution du site et du moteur | Contenu des PDF (en transit et en mémoire), journaux techniques | Fonctions configurées en région cdg1 (Paris) ; Vercel indique s’appuyer sur le Data Privacy Framework et des clauses contractuelles types |
| Stripe (via Link) | Paiement, vendeur officiel, facturation, TVA | Données de paiement, e-mail, adresse de facturation, identifiant client | Entités irlandaises du groupe Stripe pour l’Europe ; Stripe, Inc. certifiée au Data Privacy Framework ; clauses contractuelles types |
| Google Cloud Storage (Google) | Archivage des PDF | Aucune | Non activé à la date de cette version |
| Google Ireland Limited (Google Analytics) | Mesure d’audience, uniquement si vous avez consenti au bandeau de cookies | Données de navigation (pages consultées, type d’appareil, provenance) | Traitement pouvant transiter par les États-Unis ; Google indique s’appuyer sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) et des clauses contractuelles types |
8. Transferts hors de l’Union européenne
Clerk, Vercel et Stripe sont des groupes américains : des données peuvent être traitées aux États-Unis. Ces transferts s’appuient sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, et sur les clauses contractuelles types de la Commission européenne. La base de données du Service est située dans la région de Paris.
9. Cookies et stockage local
Le Service n’utilise que ce qui est nécessaire à son fonctionnement, à l’exception de la mesure d’audience (Google Analytics), qui n’est activée qu’avec votre consentement. Il ne dépose aucun cookie publicitaire.
| Nom | Émetteur | Rôle |
|---|---|---|
| __session | Clerk | Session : vous reconnaître une fois connecté |
| __client_uat | Clerk | Indique l’état de connexion du navigateur |
| _cfuvid | Cloudflare, via Clerk | Infrastructure : gestion du trafic vers les services de Clerk |
| vd-theme (stockage local, pas un cookie) | Veritas-Doc | Mémoriser le thème clair ou sombre, jusqu’à ce que vous l’effaciez |
| _ga | Google Analytics | Mesure d’audience : distinguer les visiteurs. Déposé uniquement si vous acceptez le bandeau de cookies ; durée 2 ans, renouvelée à chaque visite (réglage par défaut de Google, source ci-dessous) |
| _ga_<identifiant> | Google Analytics | Mesure d’audience : maintenir l’état de la session en cours. Mêmes conditions de dépôt et de durée que _ga |
Clerk indique que ses cookies sont nécessaires à son fonctionnement et ne stockent pas d’information personnelle identifiable par défaut. Ces traceurs relèvent des exemptions de consentement (article 82 de la loi Informatique et Libertés : la CNIL cite l’authentification et la personnalisation de l’interface). Google Analytics n’entre pas dans cette exemption : ses cookies ne sont déposés qu’après votre accord, donné dans le bandeau affiché en bas de chaque page ; vous pouvez le retirer à tout moment via le lien « Gérer les cookies » du pied de page. La page de paiement, hébergée par Stripe, peut déposer ses propres traceurs, régis par la politique de Stripe.
10. Durées de conservation
Nous conservons les données le temps nécessaire à chaque finalité :
| Donnée | Durée |
|---|---|
| Contenu du PDF | Aucune conservation : il n’est pas enregistré |
| Compte, offre, solde et historique des crédits | Tant que le compte existe, puis suppression sous 30 jours après une demande de suppression |
| Résumés d’analyse | Tant que le compte existe (ils servent au décompte des analyses gratuites et des quotas) ; à la suppression du compte, ils sont pseudonymisés (le lien avec votre compte est supprimé, l’empreinte du fichier est conservée) puis effacés sous 12 mois |
| Données de paiement et factures | Conservées par Stripe (via Link) selon ses obligations légales ; nous ne détenons que l’identifiant client Stripe et les événements traités |
| Clés d’API | Empreinte conservée tant que la clé existe, puis 12 mois après sa révocation |
| Compteurs de limite de débit | Fenêtres d’une minute, purgées après environ une heure |
| Journaux techniques de l’hébergeur | Durée fixée par l’hébergeur selon son offre |
| Messages adressés à l’Éditeur | 3 ans après le dernier échange |
| Messages du formulaire de contact | 24 mois après l’envoi |
11. Vos droits
Conformément au règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants :
- accès à vos données et copie (article 15) ;
- rectification des données inexactes (article 16) ;
- effacement (article 17) ;
- limitation du traitement (article 18) ;
- portabilité des données que vous nous avez fournies (article 20) ;
- opposition aux traitements fondés sur l’intérêt légitime (article 21) ;
- définir des directives sur le sort de vos données après votre décès.
Comment les exercer
Écrivez à contact@techstride-consulting.com. Nous répondons dans un délai d’un mois, prolongeable de deux mois en cas de demande complexe (article 12 du RGPD). Nous pouvons vous demander de justifier de votre identité. Pour supprimer votre compte, indiquez l’adresse e-mail de connexion : nous supprimons vos données de notre base et demandons la suppression de votre compte chez Clerk.
Les données de paiement détenues par Stripe (via Link) relèvent de Stripe : pour une demande les concernant, adressez-vous à Stripe ou à Link. Stripe indique traiter les demandes de suppression des données liées aux transactions Managed Payments et au compte Link associé.
Réclamation
Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL) : cnil.fr/fr/plaintes.
12. Sécurité
Mesures en place à la date de cette version :
- Les échanges avec le site sont chiffrés par HTTPS, assuré par l’hébergeur.
- La base de données n’est accessible que par le serveur du Service : aucun accès direct depuis un navigateur n’est prévu.
- Les clés d’API ne sont jamais stockées en clair : seule leur empreinte l’est, et la clé n’est montrée qu’une fois.
- Les notifications de paiement de Stripe sont vérifiées par signature avant tout traitement.
- Le moteur d’analyse n’accepte que les appels authentifiés par un secret partagé avec le serveur du Service.
13. Modification de cette politique
Cette politique peut évoluer, notamment si le Service change (par exemple l’activation de l’archivage). La date de version figure en haut de la page ; les modifications importantes vous sont signalées par e-mail ou dans le Service.