§ Confidentialité

Politique de confidentialité

Dernière mise à jour : 15 octobre 2026

RGAA-IA respecte le Règlement (UE) 2016/679 (RGPD) et la loi Informatique et Libertés du 6 janvier 1978 modifiée. Cette politique décrit les traitements de données mis en œuvre, leurs finalités, leurs durées de conservation et vos droits.

§ 01

Responsable de traitement

Le responsable de traitement est la SAS IAC IAVARONE CONSEIL, immatriculée au RCS de Clermont-Ferrand sous le numéro 932 210 339, dont le siège social est situé au 8 Boulevard Léon Malfreyt, 63000 Clermont-Ferrand, France.

Compte tenu de la taille de la structure et de la nature non sensible des traitements (absence de données particulières au sens de l'article 9 RGPD, pas de profilage automatisé à effet juridique), aucun délégué à la protection des données (DPO) n'a été désigné. Pour toute question relative à vos données, contactez : bonjour@rgaa-ia.fr.

§ 02

Données collectées et finalités

Le tableau ci-dessous récapitule, par catégorie, les données traitées, leur finalité, leur base légale RGPD et leur durée de conservation.

Catégories de données personnelles traitées par RGAA-IA
Catégorie	Données	Finalité	Base légale	Conservation
Audit (preview)	URL du site soumis, adresse IP, user agent	Lancer l'analyse RGAA, prévenir l'abus (rate limit 3 audits / IP / heure)	Intérêt légitime (art. 6.1.f RGPD)	12 mois puis purge automatique (cron pg_cron)
Compte client	Email, nom, raison sociale, SIRET (facultatif)	Envoi du lien magique de téléchargement, facturation, support	Exécution du contrat (art. 6.1.b RGPD)	5 ans après dernière commande (durée légale comptable)
Paiement	Données de carte (chiffrées par Stripe), montant, date, ID transaction	Traitement du paiement, lutte anti-fraude, comptabilité	Exécution du contrat + obligation légale (art. 6.1.b et 6.1.c RGPD)	10 ans (obligation comptable, art. L.123-22 Code de commerce)
Livrables	Findings d'audit, scores, contenu des documents générés	Mise à disposition au Client via lien magique 30 jours	Exécution du contrat (art. 6.1.b RGPD)	12 mois (sauf demande de suppression anticipée)
Logs serveur	IP, horodatage, route HTTP, code réponse, agent utilisateur	Sécurité, détection d'incidents, performance	Intérêt légitime (art. 6.1.f RGPD)	30 jours en production, 90 jours sur erreurs
Erreurs applicatives (Sentry)	Stack trace, version build, contexte (PII scrubées : SIRET et email retirés via beforeSend)	Diagnostic et correction des bugs	Intérêt légitime (art. 6.1.f RGPD)	90 jours
Mesure d'audience dans le navigateur (PostHog)	Sans accord (avant tout choix, après un refus) : pages vues, sorties de page et étapes du parcours, adresses des pages sans identifiant d'audit, de commande, de paiement ni de clic publicitaire, paramètres de campagne (utm_…), adresse de provenance, navigateur et appareil ; après « Tout accepter » : identifiant persistant, identifiant de l'audit consulté, clics et zones cliquées, enregistrement de session (saisies masquées)	Mesure d'usage, amélioration du tunnel d'achat	Sans accord, sans cookie : mesure d'audience exemptée de consentement (art. 82 loi Informatique et Libertés), intérêt légitime (art. 6.1.f RGPD) ; cookies, clics et enregistrement de session : consentement (art. 6.1.a RGPD)	1 an (enregistrements de session : 30 jours)
Événements serveur pseudonymisés (PostHog)	Identifiant de l'audit ou empreinte du numéro de commande, étape du service, nom de domaine et empreinte de l'adresse du site audité, page de rgaa-ia.fr d'où l'audit est lancé (avec ses paramètres), score, pages analysées et durée, motif d'échec, offre et montant — ni email, ni adresse IP du visiteur	Mesure du fonctionnement et des conversions du service	Intérêt légitime (art. 6.1.f RGPD) — droit d'opposition par email	1 an
Statistiques (Google Analytics 4)	Pages vues, source de trafic, durée de session — après « Tout accepter » seulement, sans usage publicitaire	Statistiques de fréquentation	Consentement (art. 6.1.a RGPD)	14 mois
Capture email post-audit	Email du visiteur, lien vers l'audit consulté	Livraison du dossier teaser (4 documents avec sections masquées)	Intérêt légitime (art. 6.1.f RGPD) — droit d'opposition en 1 clic	12 mois si aucun achat
Événements emails (Resend)	Type d'événement (delivered, clicked, bounced, complained, unsubscribed), horodatage, ID Resend — pas de pixel d'ouverture	Mesure d'engagement, gestion suppression list, prévention de la fraude	Intérêt légitime (art. 6.1.f RGPD)	13 mois

§ 03

Destinataires et sous-traitants

Vos données ne sont jamais vendues ni communiquées à des tiers à des fins commerciales. Elles sont uniquement transmises aux sous-traitants techniques suivants, sélectionnés pour leur conformité RGPD :

Liste des sous-traitants
Sous-traitant	Rôle	Pays	Cadre RGPD
Vercel Inc.	Hébergement frontend (CDN Edge) et fonctions serveur (région fra1, Francfort)	États-Unis (DPF)	Data Privacy Framework + Clauses Contractuelles Types (CCT)
Supabase Inc.	Base de données PostgreSQL (région eu-central-1, Francfort)	Singapour (entité) / UE (stockage)	Stockage exclusivement en UE — CCT 2021/914
Railway Corp.	Worker d'audit Playwright	États-Unis (entité) / UE (exécution)	DPF + CCT — exécution région eu-west1 (Amsterdam)
Upstash Inc.	Redis (file de jobs, rate limiting)	États-Unis (entité) / UE (stockage)	Région eu-west-1 (Irlande) — DPF + CCT
Stripe Payments Europe Ltd.	Traitement des paiements	Irlande	Sous-traitant PCI-DSS niveau 1, DPA RGPD signée
Resend (R Software Ltd.)	Envoi d'emails transactionnels (factures, magic link)	États-Unis	DPF + CCT — option résidence UE activée
Sentry (Functional Software Inc.)	Monitoring d'erreurs applicatives	États-Unis	Région data UE (Francfort) — DPF + CCT, scrub PII actif
PostHog Inc.	Analytics produit	États-Unis (entité) / UE (stockage)	Cloud EU (Francfort) — DPF + CCT
Google LLC (GA4)	Statistiques de fréquentation	États-Unis	DPF + CCT, après « Tout accepter » seulement, conservation 14 mois, sans usage publicitaire
Anthropic PBC	Évaluation des 17 critères RGAA assistés par IA (Claude Haiku) et génération assistée des livrables (Claude Opus 4.7), via passerelle API_JI auto-hébergée sur un serveur Hetzner à Falkenstein, Allemagne (api.jeromeiavarone.fr)	États-Unis	DPF + CCT — pas d'entraînement sur les données API. Conservation jusqu'à 30 jours pour modération (politique standard Anthropic).

☞ Pour les transferts hors Union européenne, l'Éditeur s'appuie sur les décisions d'adéquation (notamment EU-US Data Privacy Framework pour les prestataires américains certifiés) et, à défaut, sur les Clauses Contractuelles Types adoptées par la Commission européenne (décision 2021/914).

§ 04

Cookies et traceurs

RGAA-IA utilise un nombre minimal de cookies. Aucun cookie publicitaire n'est déposé, et aucun cookie de mesure sans votre accord.

Cookies strictement nécessaires (sans consentement)

Stripe — sur sa page de paiement, Stripe dépose ses propres cookies anti-fraude (durée : 1 an). Cf. politique cookies Stripe. Le site rgaa-ia.fr lui-même ne dépose aucun cookie nécessaire à la visite.

Mesure d'audience dans le navigateur (PostHog, selon votre choix)

Avant tout choix — une mesure d'audience strictement statistique fonctionne sans cookie ni stockage dans votre navigateur (identifiant gardé en mémoire, perdu à la fermeture ou au rechargement de la page) : pages vues, sorties de page et étapes du parcours, adresse de provenance, paramètres de campagne (utm_…), navigateur et appareil. Les adresses sont envoyées sans l'identifiant de l'audit consulté, sans numéro de commande ni identifiant de paiement, sans le site à auditer ni le titre de la page, et sans les identifiants de clic publicitaire (gclid, fbclid, msclkid…), qui sont retirés avant l'envoi. Aucun clic, aucune zone cliquée (heatmap), aucun enregistrement de la visite ni sondage. L'adresse IP n'est pas conservée par PostHog. Cette mesure est exemptée de consentement (art. 82 de la loi Informatique et Libertés) : aucun identifiant n'est conservé au-delà de la page ouverte.
Après « Tout accepter » seulement — PostHog dépose ses cookies et son stockage local (identifiant persistant : ses cookies expirent avec votre choix, 13 mois au plus, et son stockage local est effacé à la première visite qui suit), relie les événements à l'audit consulté, mesure les clics et les zones cliquées (heatmaps) et enregistre la session : les champs de saisie sont masqués, mais le texte affiché à l'écran est enregistré ; les pages de livraison et de paiement ne sont jamais enregistrées ; les enregistrements sont conservés 30 jours. Base légale : votre consentement (art. 6.1.a RGPD).
Refus ou retrait — après « Refuser », aucun cookie ni stockage PostHog n'est déposé, et seule la mesure sans cookie décrite ci-dessus continue : pages vues et étapes du parcours, sans identifiant d'audit ni de commande, sans clic mesuré ni enregistrement. Si vous retirez votre consentement (« Gérer les cookies »), y compris depuis un autre onglet, ses cookies et stockages sont effacés, l'identifiant persistant est abandonné et la même mesure sans cookie reprend.

Événements serveur pseudonymisés (sans cookie ni consentement)

Certaines étapes du service sont enregistrées par nos serveurs, et non par votre navigateur. Ces événements n'accèdent pas à votre terminal et n'utilisent aucun cookie : ils sont envoyés que vous ayez accepté, refusé ou pas encore fait de choix.

Ils sont pseudonymisés : rattachés à l'identifiant de l'audit ou à une empreinte non réversible du numéro de commande, jamais à votre email ni à votre adresse IP, qui ne sont pas transmis à PostHog. L'adresse IP qu'il voit est celle de nos serveurs, pas la vôtre, et la géolocalisation est désactivée. Il reçoit aussi le nom et la version de sa bibliothèque.

Les essais techniques portent un indicateur de donnée interne pour être exclus des mesures métier, tout en permettant de diagnostiquer leur fonctionnement.

Audit lancé — identifiant de l'audit, nom de domaine du site audité, empreinte technique de son adresse, adresse de la page de rgaa-ia.fr depuis laquelle l'audit est lancé avec tous ses paramètres (campagne, identifiants de clic publicitaire, adresse du site à auditer quand un lien la pré-remplit, identifiant d'un audit précédent en cas de nouvel essai).
Audit terminé — identifiant de l'audit, nombre de pages analysées et de critères applicables, score et tranche de score, durée de l'analyse.
Audit en échec — identifiant de l'audit, motif technique (il peut contenir l'adresse de pages du site audité), durée de l'analyse.
Demande de l'aperçu par email — identifiant de l'audit, nom de domaine du site audité, première demande ou renvoi ; l'email saisi n'est pas transmis.
Commande créée — identifiant de l'audit, empreinte du numéro de commande, offre, montant, origine (rapport ou email).
Paiement confirmé — empreinte du numéro de commande, identifiant de l'audit, offre, montant.
Lien d'accès utilisé — identifiant de l'audit.
Lien d'accès expiré — motif (expiré, déjà utilisé ou révoqué), identifiant de l'audit lorsqu'il est connu et indicateur de donnée interne pour exclure les essais des mesures métier.

Finalité — mesurer le fonctionnement du service (audits menés à terme ou en échec) et ses conversions (aperçus demandés, commandes, paiements), y compris quand votre navigateur bloque la mesure d'audience.
Base légale — intérêt légitime (art. 6.1.f RGPD).
Conservation — 1 an pour les événements, durée de conservation des données d'analyse de PostHog (hébergé dans l'UE).
Droit d'opposition — écrivez à bonjour@rgaa-ia.fr en précisant l'adresse du site audité ou le numéro de commande : les événements qui s'y rattachent seront supprimés dans un délai d'un mois.

Autres cookies soumis à consentement

Google Analytics 4 — statistiques de fréquentation (pages vues, source de trafic). Chargé seulement après « Tout accepter » : avant votre choix ou après un refus, rien n'est envoyé à Google et aucun cookie n'est déposé. Cookies _ga (jusqu'à l'expiration de votre choix : 13 mois au plus) ; données conservées 14 mois par Google ; aucun usage publicitaire. Si vous retirez votre consentement (« Gérer les cookies »), la mesure s'arrête et ses cookies sont effacés.

Votre choix (accord ou refus) est conservé 13 mois au plus dans votre navigateur : passé ce délai, le bandeau vous le redemande. Vous pouvez à tout moment modifier vos préférences depuis le bandeau cookies (lien « Gérer les cookies » en pied de page) ou directement dans votre navigateur.

§ 04 bis

Emails de la séquence d'accompagnement

Si vous saisissez votre adresse email après un audit pour recevoir le dossier teaser, vous entrez dans une séquence d'accompagnement de 13 jours (5 emails) destinée à vous aider à finaliser votre dossier RGAA. Voici comment elle est encadrée.

Base légale.
Pour les emails déclenchés par un paiement (livraison du dossier, magic link, support) : exécution contractuelle (article 6.1.b RGPD). Pour les emails de relance avant achat (séquence E1 → E5) : intérêt légitime (article 6.1.f RGPD), avec droit d'opposition en 1 clic depuis chaque email.
Cadence et contenu.
E1 (livraison teaser, J+0), E1_RESEND (rappel J+1 si non livré), E2 (obligations légales, J+1), E3 (contenu du dossier, J+4), E4 (bonus check-list, J+8), E5 (dernière chance, J+13). Maximum 5 emails par capture. Au-delà, plus aucun envoi.
Tracking minimal.
Seul le clic sur les liens est mesuré (Resend, hébergé en UE). Pas de pixel d'ouverture. Les événements delivered/clicked/bounced/complained/unsubscribed sont conservés 13 mois pour qualité de service et prévention de la fraude.
Désabonnement.
Lien signé HMAC en pied de chaque email — un clic suffit. Vous pouvez aussi écrire à bonjour@rgaa-ia.fr. Une fois désabonné, votre email est ajouté à une suppression list permanente.
Conservation et purge.
L'adresse email d'une capture est purgée à 12 mois si aucun achat. Les événements emails sont conservés 13 mois maximum.

§ 05

Vos droits RGPD

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Droit d'accès — obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
Droit de rectification — corriger des données inexactes ou incomplètes.
Droit à l'effacement (« droit à l'oubli ») — demander la suppression de vos données, sous réserve des obligations légales de conservation (notamment comptables).
Droit à la limitation — suspendre le traitement le temps de vérifier l'exactitude ou la légitimité.
Droit à la portabilité — recevoir vos données dans un format structuré (JSON / CSV) ou les transférer à un tiers.
Droit d'opposition — vous opposer aux traitements fondés sur l'intérêt légitime ou la prospection.
Droit de définir des directives post-mortem — sur le sort de vos données après votre décès (art. 85 loi Informatique et Libertés).

Pour exercer ces droits, écrivez à bonjour@rgaa-ia.fr en précisant votre demande et en joignant un justificatif d'identité si nécessaire. Une réponse vous sera apportée dans le délai d'un mois (article 12.3 RGPD), prorogeable de deux mois en cas de complexité.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

§ 06

Sécurité et mesures techniques

Chiffrement des données en transit (TLS 1.3) et au repos (AES-256).
Politique de sécurité du contenu (CSP) stricte avec nonces générés par requête.
HSTS, X-Frame-Options, Permissions-Policy configurés sur l'ensemble du domaine.
Liens magiques de téléchargement réutilisables 30 jours, jeton de 32 octets aléatoires ; le fichier n'est servi que par une adresse signée de 2 minutes, générée au clic.
Rate limiting global (3 audits / IP / heure) via Upstash Ratelimit.
Cloisonnement des rôles Supabase : Row Level Security (RLS) activée sur toutes les tables, clé service-role limitée aux flux serveur.
Sentry beforeSend filtre les emails et SIRET avant envoi (cf. lib/shared/scrub-pii.ts).
Sauvegardes automatiques quotidiennes (Supabase) chiffrées, restauration testée.