Politique de confidentialité

1. Responsable de traitement

Les traitements décrits ci-dessous sont opérés par TARGET WEB SERVICES (SAS), 200 cours Balguerie Stuttenberg, 33300 Bordeaux — contact@targetweb.fr — en qualité de responsable de traitement pour son site et ses prospects, et en qualité de sous-traitant pour les données de trafic synchronisées depuis les comptes Google Analytics 4 de ses clients.

2. Audit gratuit (formulaire public)

Chaque audit lancé — que vous laissiez ou non votre e-mail — est enregistré dans un cache technique (public_audits) : l'URL analysée, son empreinte (condensat SHA-256), le domaine, le résultat complet de l'analyse et le nombre d'appels API consommés. Ce cache, sans e-mail ni compte, évite de refacturer aux services de mesure une analyse identique pendant 1 heure.

Si vous envoyez volontairement une demande (devis, accompagnement, contact ou échange sur un audit), nous enregistrons vos prénom, nom, entreprise, e-mail, téléphone et site facultatifs, besoin, offre envisagée, périmètre et message. Le consentement explicite et sa version sont horodatés côté serveur, ainsi que l’origine de la demande, ses paramètres UTM et son code partenaire éventuel. La lecture d’un résultat d’audit ne nécessite pas cette demande.

Finalité : traiter votre demande et vous recontacter à son sujet. Base légale pour cette collecte : votre consentement explicite, sans inscription à des communications commerciales. La demande est enregistrée dans un espace protégé, accessible aux administrateurs Target Web. Le raccordement au suivi commercial Target Web reste en préparation ; aucun envoi automatique n’est déclenché à ce stade. Les anciennes demandes restent conservées séparément.

Durée de conservation : [À CONFIRMER — durée de conservation des demandes et modalités de retrait du consentement à valider]. Vous pouvez retirer votre consentement en contactant le responsable de traitement indiqué ci-dessus.

3. Protection contre l'abus (adresse IP)

L'audit gratuit étant ouvert à tous, sans compte, son débit est limité pour prévenir les abus et les dénis de service. Votre adresse IP — transmise par notre infrastructure d'hébergement (en-têtes cf-connecting-ip ou x-forwarded-for), jamais lue depuis votre navigateur — est enregistrée avec le domaine audité et l'horodatage de chaque appel (table audit_rate_limits, accessible uniquement au serveur).

Finalité : protection du service contre l'abus. Base légale : intérêt légitime (sécurité et disponibilité). Durée de conservation : [À CONFIRMER — aucune purge automatique n'est implémentée à ce jour — durée à définir].

4. Compte utilisateur et organisation

La création d'un compte enregistre votre adresse e-mail, votre mot de passe (stocké uniquement sous forme de condensat par le service d'authentification, jamais en clair ni accessible à Target Web) et, à votre initiative, nom complet, fonction et avatar. L'organisation rattachée enregistre sa dénomination, ses sites déclarés (URL), l'offre souscrite et le statut de vérification technique des domaines.

Finalité : fourniture du service (authentification, cockpit, rapports). Base légale : exécution du contrat. Durée : vie du compte, puis [À CONFIRMER — délai avant suppression ou anonymisation après clôture].

5. Connexion Google Analytics 4

Si vous connectez un compte Google Analytics 4, les jetons d'accès OAuth sont chiffrés (AES-256-GCM) et stockés exclusivement côté serveur ; ils ne sont jamais transmis au navigateur ni affichés. Les données de trafic synchronisées à la demande (sessions, pages vues et indicateurs agrégés) demeurent la propriété de votre organisation : Target Web les traite en qualité de sous-traitant, uniquement pour alimenter votre cockpit. La déconnexion du compte supprime les jetons.

6. Mesures techniques sur vos sites

Les URL que vous déclarez ou soumettez à l'audit sont transmises aux services suivants :

• EcoIndex — point d'accès par défaut bff.ecoindex.fr/api, opéré par GreenIT (France). Cette adresse est surchargeable, organisation par organisation (réglage du connecteur) ou au niveau du serveur (configuration d'hébergement) : l'URL analysée peut alors être transmise à un point d'accès différent de celui nommé ici ;
• Google PageSpeed Insights (Google Ireland / Google LLC) ;
• les résolveurs DNS dns.google (Google) et Cloudflare (1.1.1.1), qui reçoivent le seul nom d'hôte audité afin de vérifier qu'il pointe vers une adresse IP publique (protection contre les détournements de requêtes).

Ces appels portent sur des URL publiques et ne contiennent aucune donnée personnelle de vos visiteurs.

7. Attribution partenaire — sans cookie

Le parrainage par un cabinet partenaire repose sur un code dans l'URL (?p=…) conservé dans le stockage de session de votre navigateur, limité à l'onglet courant — aucun cookie ni traceur persistant n'est déposé. Ce code n'est enregistré sur nos serveurs que si vous soumettez un formulaire, avec votre e-mail, la page d'arrivée et les paramètres de campagne. La fenêtre d'attribution est de 90 jours ; durée de conservation des touches : [À CONFIRMER — délai de purge des touches non gagnantes].

8. Cookies et stockage local de ce site

Le site public ne dépose aucun cookie de suivi publicitaire ni traceur tiers de notre fait [À CONFIRMER — responsabilité — l'éditeur reste-t-il responsable du script de mesure que son hébergeur injecte dans les pages (ci-dessous), bien qu'il n'en soit pas à l'origine ? Question à poser au conseil juridique ; la formulation « de notre fait » dépendra de sa réponse.]. Sont utilisés, dans votre navigateur :

• le mémorial de votre choix de consentement (tw_consent_v1, localStorage, 13 mois maximum, conformément aux recommandations de la CNIL) ;
• vos préférences d'accessibilité (a11y-preferences, localStorage : taille de texte, contraste, police adaptée…) ;
• le code d'attribution de session décrit au point 7 (sessionStorage, supprimé à la fermeture de l'onglet).

Mesure d'audience de la plateforme d'hébergement. Notre hébergeur, Lovable, injecte sur chaque page un script de mesure d'audience (/~flock.js, environ 21 Ko) qui collecte les pages vues et les performances de chargement (Core Web Vitals : LCP, CLS, FCP, INP, TTFB), les rattache à un identifiant de session (__lovable_session) et à un identifiant anonyme persistant (__lovable_anonymous_id) déposés dans le stockage local de votre navigateur, puis les transmet à la plateforme d'hébergement.

• Données : pages vues et horodatages, performances techniques de chargement, identifiants de session et anonyme (__lovable_session, __lovable_anonymous_id — localStorage), type de navigateur.
• Finalité : statistiques de fréquentation et de performance du service, restituées dans le tableau d'analyse de la plateforme.
• Base légale : [À CONFIRMER — question au conseil juridique — ce traitement opéré par l'hébergeur relève-t-il de l'exemption de consentement pour mesure d'audience (statistiques internes à finalité strictement limitée), ou requiert-il un consentement préalable ? La réponse conditionne le bandeau de consentement.]
• Durée de conservation : [À CONFIRMER — non documentée publiquement par l'hébergeur — à obtenir par écrit auprès de Lovable.]
• Destinataire : Lovable, en qualité de plateforme d'hébergement.

Ce traitement est opéré par la plateforme au service des pages, avant l'exécution de notre propre code : le choix exprimé dans le bandeau de consentement ne peut pas l'interrompre. La plateforme propose un réglage d'hébergement permettant de désactiver cette mesure ; il n'est pas activé à ce jour — la collecte décrite ci-dessus est donc effective sur toutes les pages.

Un journal d'audit technique consigne enfin les actions d'administration de la plateforme (acteur, date, action) à des fins de sécurité — base légale : intérêt légitime (traçabilité et prévention des abus).

9. Sous-traitants et localisation

• Lovable (hébergement de l'application et mesure d'audience de la plateforme, point 8) ;
• Lovable Cloud / Supabase (base de données et authentification) ;
• Google Ireland / Google LLC (API Google Analytics 4, PageSpeed Insights, résolution DNS dns.google) ;
• Cloudflare (résolution DNS de secours 1.1.1.1) ;
• GreenIT (API EcoIndex, France).

Régions d'hébergement et éventuels transferts hors Union européenne : [À CONFIRMER — vérifier les régions exactes des services et, le cas échéant, les garanties applicables (clauses contractuelles types)].

10. Sécurité

Mots de passe stockés sous forme de condensats, jetons OAuth chiffrés au repos, isolation des données par organisation au niveau de la base (contrôles d'accès systématiques), accès d'administration journalisé.

11. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur les données vous concernant. Pour les exercer : contact@targetweb.fr. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).