Politique de Confidentialité

1. Introduction

La présente Politique de Confidentialité décrit comment L'Analyste (ci-après « nous ») collecte, utilise et protège les données personnelles dans le cadre de l'utilisation de notre Service, conformément à la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25, Québec) et au Règlement Général sur la Protection des Données (RGPD).

2. Responsable du traitement

Le responsable du traitement des données collectées via le Service est l'éditeur de la plateforme L'Analyste, joignable à l'adresse : hello@example.com

3. Hébergement et localisation des données

Les données collectées via le Service sont hébergées sur des serveurs situés au Canada (province de Québec ou Ontario). Aucune donnée de tracking des visiteurs n'est transférée en dehors du Canada, sauf dans les cas explicitement mentionnés à la section 7 (sous-traitants).

Cette localisation garantit la conformité avec la Loi 25 du Québec, qui exige que les renseignements personnels soient protégés par des mesures équivalentes lors de tout transfert hors du Québec.

Pour le détail complet (datacenter, durées de conservation, mécanismes d'anonymisation) : voir Hébergement et résidence des données.

4. Données collectées

4.1 Données des utilisateurs (clients de la plateforme)

• Nom et adresse email (lors de l'inscription)
• Informations de facturation (traitées directement par Stripe)
• Préférences de notification et de langue

4.2 Données des visiteurs (via le script de tracking)

• Coordonnées des clics (position relative, exprimée en pourcentage, aucune donnée personnelle)
• Dimensions de la fenêtre du navigateur (viewport)
• URL de la page visitée (chemin uniquement, sans paramètres de requête contenant des données personnelles)
• Sélecteur CSS de l'élément cliqué
• Catégorie de navigateur et système d'exploitation (ex : « Windows Chrome 120 »)
• Adresse IP anonymisée par hachage SHA-256 avec sel quotidien (impossible de remonter à l'IP originale)
• Identifiant de session anonyme généré côté navigateur (UUID, non traçable entre sessions)
• Événements de comportement : rage clicks, dead clicks, erreurs JavaScript
• Données de replay de session (enregistrement DOM anonymisé via rrweb)
• Profondeur de scroll (pourcentage maximal atteint)
• Interactions avec les formulaires (champs focalisés, abandonnés, sans contenu saisi)

Important : Aucune donnée personnelle identifiable des visiteurs n'est collectée. Le script ne collecte jamais de noms, emails, mots de passe, numéros de carte de crédit ni contenu de formulaires. Le script respecte automatiquement les signaux Do Not Track (DNT) et Global Privacy Control (GPC) du navigateur.

5. Finalités du traitement

• Fourniture du Service d'analyse de comportement utilisateur
• Génération de heatmaps, replays et insights
• Gestion des comptes utilisateurs et de la facturation
• Envoi de notifications relatives au Service (insights critiques, rapports hebdomadaires)
• Amélioration continue du Service

6. Base légale

• Exécution du contrat : traitement nécessaire à la fourniture du Service souscrit
• Intérêt légitime : amélioration du Service, sécurité, prévention des abus
• Consentement : envoi de communications marketing optionnelles
• Obligation légale : conservation des données de facturation (durée légale comptable)

7. Durée de conservation

Conformément à la Loi 25 du Québec, les données sont conservées uniquement le temps nécessaire à leur finalité :

• Données de compte : durée de l'abonnement + 30 jours après suppression du compte
• Événements de tracking (heatmaps, comportements, scroll, formulaires) : configurable par le client, défaut 30 jours
• Sessions de replay : configurable par le client (1 à 90 jours)
• Insights et snapshots : 30 jours après résolution ou expiration
• Journaux d'audit : 90 jours
• Données de facturation : durée légale de conservation comptable (7 ans au Québec)

La suppression est automatique et irréversible. Les fichiers de replay sont supprimés du stockage en même temps que les enregistrements.

8. Sous-traitants

Nous faisons appel aux sous-traitants suivants :

Pour Stripe (paiements), seules les données de facturation (nom, email, montants) transitent vers les États-Unis. Aucune donnée de tracking des visiteurs n'est transmise à Stripe.

9. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des communications (HTTPS/TLS 1.2+)
• Authentification HMAC des scripts de tracking (token signé, TTL 1h)
• Vérification d'origine (Origin/Referer) sur toutes les requêtes API
• Rate limiting pour prévenir les abus
• Hachage des mots de passe (bcrypt, rounds ≥ 12)
• Authentification à deux facteurs (TOTP) disponible
• Sessions chiffrées côté serveur
• En-têtes de sécurité HTTP (CSP, HSTS, X-Frame-Options)

10. Vos droits

Conformément à la Loi 25 du Québec et au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données (disponible via l'export CSV/PDF dans le dashboard)
• Droit de rectification : corriger vos données inexactes (profil utilisateur modifiable dans le dashboard)
• Droit à l'effacement : demander la suppression de vos données : suppression par session disponible dans le dashboard ; suppression du compte via votre profil
• Droit à la portabilité : recevoir vos données dans un format structuré (export CSV disponible)
• Droit d'opposition : vous opposer au traitement de vos données
• Droit à la limitation : demander la limitation du traitement
• Droit de désindexation : ne pas faire l'objet d'une décision automatisée

Pour exercer ces droits, contactez-nous à : hello@example.com. Nous répondons dans un délai de 30 jours conformément à la Loi 25.

Vous pouvez également adresser une plainte à la Commission d'accès à l'information du Québec (CAI) ou à la CNIL si vous êtes en Europe.

11. Cookies et traceurs

Le script de tracking n'utilise pas de cookies. L'identifiant de session est stocké dans sessionStorage (mémoire volatile du navigateur, effacé à la fermeture de l'onglet), ce qui le soustrait aux obligations de consentement aux cookies.

Le dashboard L'Analyste utilise uniquement des cookies techniques essentiels (session, CSRF). Voir notre Politique de gestion des cookies.

Le script respecte automatiquement les signaux Do Not Track (DNT) et Global Privacy Control (GPC) envoyés par le navigateur du visiteur.

12. Responsabilité des utilisateurs (clients)

En tant qu'utilisateur du Service, vous êtes responsable du traitement des données des visiteurs de vos sites web. Vous devez :

• Informer vos visiteurs de l'utilisation d'un outil d'analyse comportementale dans votre propre politique de confidentialité
• Mentionner L'Analyste comme sous-traitant dans votre politique
• Obtenir le consentement de vos visiteurs si requis par la réglementation applicable (en activant l'option data-require-consent="true" sur le script)
• Configurer la durée de rétention appropriée dans les paramètres de votre site

13. Modifications

Nous pouvons mettre à jour cette politique à tout moment. En cas de modification substantielle, nous vous en informerons par email ou via une notification dans le Service avec un préavis de 30 jours.

14. Contact

Pour toute question relative à la protection de vos données ou pour exercer vos droits :

• Email : hello@example.com
• Délai de réponse : 30 jours maximum
• Autorité de contrôle Québec : Commission d'accès à l'information (CAI)
• Autorité de contrôle Europe : CNIL