La présente politique explique de manière concise comment les données personnelles sont traitées sur https://digipure.fr, conformément au RGPD et à la loi Informatique et Libertés.
1. Responsable du traitement
Le responsable du traitement est DIGIPURE, société par actions simplifiée au capital de 1 000 €, immatriculée au RCS de Romans sous le numéro 105 241 269, dont le siège est situé 20 rue Paul Verlaine, 26800 Portes-lès-Valence, France.
Pour toute question relative à la protection des données ou pour exercer un droit : contact@digipure.fr. Aucun délégué à la protection des données n'est présenté comme désigné à ce jour.
2. Données collectées
Selon le formulaire utilisé, DigiPure peut recueillir : nom, prénom, adresse électronique, numéro de téléphone, entreprise, ville ou zone d'intervention, domaine d'activité, nature et budget indicatif du projet, message, date et créneau souhaités.
Ces données proviennent directement de la personne qui remplit un formulaire, écrit à DigiPure ou poursuit un échange professionnel. DigiPure ne constitue pas de profil à partir de sources publiques pour le fonctionnement de ce site.
Les champs obligatoires sont signalés dans le formulaire. Sans eux, DigiPure ne peut pas analyser la demande ni y répondre. Merci de ne transmettre aucune donnée sensible, information confidentielle de tiers, mot de passe ou moyen de paiement dans les champs libres.
Des données techniques limitées peuvent être traitées pour acheminer la demande, maintenir la sécurité et diagnostiquer un incident : horodatage, type de requête, adresse IP ou informations de navigateur lorsqu'elles figurent dans les journaux techniques de l'infrastructure. La copie serveur destinée à la boîte de suivi interne comprend aussi un identifiant de demande, un horodatage et un nonce technique destinés à contrôler son authenticité et à empêcher sa réutilisation.
Le dispositif anti-abus du formulaire conserve temporairement un condensat HMAC pseudonymisé de l'adresse IP, associé à un compteur et à une fenêtre de limitation, sans enregistrer le contenu du formulaire dans ses journaux applicatifs.
Lorsque vous lancez volontairement l'audit PageSpeed, l'URL saisie est transmise à l'API privée de DigiPure puis au service Google PageSpeed Insights. Un condensat HMAC de l'adresse IP est utilisé temporairement pour limiter les abus ; l'adresse IP en clair n'est pas enregistrée dans la table de limitation.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Répondre à une demande, préparer un devis ou organiser un échange | Mesures précontractuelles prises à votre demande |
| Centraliser la demande dans une boîte de suivi interne et en assurer le traitement | Mesures précontractuelles prises à votre demande |
| Assurer le suivi de la relation avec un prospect ou un client | Exécution d'un contrat ou intérêt légitime |
| Protéger le site et prévenir les abus | Intérêt légitime |
| Afficher de manière cohérente et accessible les polices Google Fonts et les icônes animées Lordicon | Intérêt légitime de DigiPure à assurer la lisibilité et la présentation de son site |
| Réaliser l'audit PageSpeed demandé par l'utilisateur | Mesures précontractuelles prises à votre demande |
| Respecter une obligation légale, comptable ou réglementaire | Obligation légale |
| Déposer un traceur non essentiel, s'il est ajouté ultérieurement | Consentement préalable |
4. Destinataires et prestataires
Les données sont accessibles uniquement aux personnes autorisées chez DigiPure et, dans la stricte mesure nécessaire, aux prestataires intervenant dans l'acheminement des messages, la maintenance, la sécurité ou l'infrastructure technique.
| Catégorie | Rôle | Accès |
|---|---|---|
| Hostinger International Limited | Hébergement du site, exécution du formulaire, acheminement transactionnel de secours, sécurité et journaux serveur | Requête, adresse IP et données techniques strictement nécessaires ; lorsque le transport e-mail natif est utilisé, adresse électronique, identité et contenu utile de la demande |
| Plus Five Five, Inc. (Resend) | Acheminement transactionnel prioritaire de la demande vers contact@digipure.fr lorsqu'une clé valide est configurée | Adresse électronique, identité et contenu utile de la demande transmis dans le message |
| Vercel Inc. | Exécution des endpoints privés du CMS et de l'audit PageSpeed, puis transmission authentifiée vers la boîte de suivi | Données du formulaire pour le CMS ; URL auditée, requête et données techniques nécessaires pour PageSpeed |
| Supabase Pte. Ltd. | Base de données de la boîte de suivi interne, projet hébergé en région eu-west-3 (Paris, France) | Champs de la demande, page source, dates, statut de traitement et identifiants techniques associés |
| Google PageSpeed Insights | Exécution de l'analyse de performance sollicitée | URL saisie et informations techniques produites par l'analyse |
| Google Ireland Limited (Google Fonts) et Lordicon Sp. z o.o. | Fourniture directe au navigateur des polices et du lecteur d'icônes nécessaires à leur affichage | Au minimum l'adresse IP, la ressource demandée et les en-têtes HTTP techniques transmis par le navigateur, notamment l'agent utilisateur et le référent |
| Conseils professionnels | Comptabilité, droit ou défense des intérêts de DigiPure | Uniquement lorsqu'une obligation ou un litige le justifie |
Les données ne sont ni vendues, ni louées, ni communiquées à des partenaires pour leur prospection propre.
5. Durées de conservation
| Catégorie | Durée cible |
|---|---|
| Demande ou prospect sans suite, y compris dans la boîte de suivi interne | Jusqu'à 3 ans à compter du dernier contact émanant de la personne |
| Données d'un client | Pendant la relation contractuelle, puis archivage selon les obligations légales et les besoins de preuve |
| Pièces comptables et contractuelles | Durées légales applicables, avec accès restreint |
| Compteur anti-abus du formulaire | Fenêtre de 15 minutes par défaut. Une fois expirés, le condensat HMAC et le compteur ne sont plus réutilisés et sont supprimés de manière déterministe avant tout nouveau comptage. En l'absence de nouvelle requête, le fichier expiré reste inactif jusqu'au passage suivant du dispositif. |
| Audit PageSpeed | Résultat conservé au maximum 5 minutes dans le cache mémoire du serveur ; fenêtre du compteur HMAC de 10 minutes, avec suppression des entrées anciennes lors des appels ou opérations de maintenance |
| Journaux techniques de l'hébergeur | Durée strictement nécessaire à la sécurité, au diagnostic ou à la gestion d'un incident, selon la politique d'infrastructure applicable |
| Journaux techniques du CMS et de la base de données | Durée la plus courte compatible avec la sécurité et le diagnostic, selon les paramètres et engagements contractuels applicables |
| Demande d'exercice de droits | Temps nécessaire au traitement, puis conservation de la preuve pendant la durée de prescription applicable |
Les données devenues inutiles sont supprimées, anonymisées ou archivées avec un accès restreint lorsqu'une obligation impose leur conservation.
6. Vos droits
Vous disposez, selon la base légale et votre situation, des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement lorsqu'un traitement repose sur celui-ci.
Adressez votre demande à contact@digipure.fr en précisant le droit exercé. DigiPure répond en principe dans un délai d'un mois. Une preuve d'identité ne sera demandée qu'en cas de doute raisonnable et uniquement dans la mesure nécessaire.
Si vous estimez, après avoir contacté DigiPure, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL.
7. Sécurité
DigiPure applique des mesures proportionnées aux risques : chiffrement des échanges, validation des données reçues, limitation des accès, gestion des habilitations, protection contre les abus et surveillance des incidents. Aucun dispositif ne garantissant une sécurité absolue, ces mesures sont réévaluées lors des évolutions techniques.
La copie Hostinger vers le CMS est transmise de serveur à serveur avec une signature HMAC, un horodatage et un nonce. Les secrets correspondants restent hors du répertoire public. L'échec de cette copie n'empêche pas l'acheminement du message par courrier électronique.
8. Cookies, stockage local et mesure d'audience
La version actuelle ne charge pas d'outil publicitaire ni de mesure d'audience, et aucun événement de navigation n'est envoyé en production. Aucune route publique de collecte d'audience n'est déployée dans le CMS Vercel.
Le navigateur contacte directement fonts.googleapis.com et fonts.gstatic.com pour afficher les polices Google Fonts, ainsi que cdn.lordicon.com lorsqu'une icône Lordicon devient visible. Ces requêtes transmettent au minimum l'adresse IP et des en-têtes HTTP techniques. Elles servent uniquement à l'affichage des polices et icônes : DigiPure ne dépose, au moyen de ces chargements, aucun cookie de mesure d'audience ou publicitaire. La base légale retenue est l'intérêt légitime de DigiPure à proposer une présentation cohérente, lisible et accessible. Pour en savoir plus : confidentialité de Google Fonts, règles de confidentialité de Google, politique de confidentialité de Lordicon et conditions de Lordicon.
Le code d'une mesure interne minimale a été préparé, mais il ne sera pas actif tant que la migration de base de données, le secret serveur, l'intégration au site public, la validation juridique et les déploiements correspondants ne seront pas tous terminés. Cette préparation n'est donc pas présentée comme une collecte actuellement en production.
Si elle est activée après ces validations, cette mesure ne déposera aucun cookie et ne lira ni n'écrira dans le stockage local ou de session. Elle respectera les signaux DNT et Global Privacy Control, exclura les robots, les pages CMS, les aperçus et les environnements locaux, et transmettra seulement le chemin public canonique sans paramètre ainsi qu'une catégorie générale de provenance : direct, navigation interne, recherche, réseaux sociaux ou lien externe. Ni l'URL référente complète ni sa requête ne seront envoyées dans l'événement.
Le serveur utilisera temporairement l'adresse IP et l'agent utilisateur pour filtrer les robots, limiter les abus et produire un condensat HMAC renouvelé chaque jour. Ces valeurs brutes ne seront pas enregistrées dans la table de mesure. Les événements seront supprimés au plus tard après 13 mois et les clés pseudonymes du limiteur après 24 heures. Les journaux techniques des hébergeurs pourront néanmoins traiter temporairement l'adresse IP et des en-têtes HTTP selon leurs règles d'infrastructure. La base légale, l'information définitive et le droit d'opposition devront être confirmés avant activation.
Le stockage local actuellement utilisé conserve seulement des préférences d'interface, comme la langue ou certains réglages visuels. Ces données restent sur l'appareil tant que l'utilisateur ne les efface pas.
9. Transferts hors de l'Espace économique européen
Hostinger International Limited est établie à Chypre, dans l'Espace économique européen. Le service d'acheminement Resend est fourni par Plus Five Five, Inc. et ses opérations principales de traitement se trouvent aux États-Unis. Son addendum relatif au traitement des données intègre les clauses contractuelles types de la Commission européenne pour les transferts concernés et documente ses sous-traitants.
Pour les utilisateurs situés dans l'EEE, Google identifie Google Ireland Limited comme responsable du traitement. Google indique toutefois exploiter des serveurs dans le monde et appliquer ses cadres légaux de transfert. Lordicon Sp. z o.o. est établie en Pologne, dans l'EEE, et indique recourir notamment à une infrastructure AWS. Les requêtes directes Google Fonts ou Lordicon et leurs journaux techniques peuvent donc impliquer des traitements hors de l'EEE selon l'infrastructure et les sous-traitants utilisés. Les garanties, lieux de traitement et mécanismes de transfert applicables sont décrits dans les règles de confidentialité de Google et la politique de confidentialité de Lordicon.
Le CMS est exécuté par Vercel Inc., dont les installations principales de traitement sont aux États-Unis. Le projet DIGIPURE utilise une offre Pro couverte par l'addendum de Vercel, lequel devient contractuellement applicable avec l'accord de service et intègre les clauses contractuelles types. La base de données Supabase utilisée par DIGIPURE est hébergée en région eu-west-3 (Paris, France) ; le support, le plan de contrôle ou certains sous-traitants peuvent néanmoins impliquer un traitement hors de l'EEE. L'addendum Supabase en vigueur identifie Supabase Pte. Ltd. à Singapour et intègre les clauses contractuelles types.
Avant toute mise en production de la boîte de suivi, DIGIPURE doit accepter et archiver l'accord de traitement Supabase applicable. Le contrôle de release traite ce point comme bloquant.
10. Profilage, décision automatisée et public concerné
Le site ne prend aucune décision produisant un effet juridique ou significatif sur une personne au moyen d'un traitement entièrement automatisé. Les informations communiquées servent à préparer une réponse humaine et adaptée au projet.
Les formulaires sont destinés aux professionnels, aux porteurs de projet et aux personnes majeures agissant pour leur propre compte ou pour une organisation. DigiPure ne cherche pas à collecter volontairement des données concernant des mineurs.
11. Évolution de la politique
Cette politique sera mise à jour en cas d'évolution du site, des prestataires ou des traitements. La date de la version applicable figure en tête de page.
12. Contact
Pour toute question ou demande relative à vos données : contact@digipure.fr.