TraitementDonnées et finalitéBase légaleStockage et destinatairesConservation
01Demande de projet
Nom et e-mail (obligatoires) ; numéro de téléphone, entreprise, mode de collaboration souhaité, types de projet, étape, budget, calendrier et résumé ; langue/source ; valeurs fixes de l’interface ; ainsi qu’une fourchette tarifaire privée, un niveau de complexité et une appréciation du budget calculés à partir des réponses. Utilisation : étudier et répondre à la demande, préparer une éventuelle mission et ouvrir un espace projet.
Mesures précontractuelles prises à votre demande (art. 6(1)(b) du RGPD). Si le message n’est pas précontractuel, intérêt légitime à répondre à une demande professionnelle (art. 6(1)(f)).
Enregistrement dans la base Cloudflare D1 du site. Une seconde copie, avec l’évaluation calculée, est transmise de serveur à serveur au service privé Studio lorsque cette intégration est configurée. Accès par Fadel Santiago et par les prestataires d’infrastructure nécessaires.
Pour un prospect qui ne devient pas client : 3 ans à compter de la collecte ou du dernier contact actif du prospect. Si la demande devient une relation client, la correspondance nécessaire comme preuve de la relation commerciale est conservée 5 ans après sa fin. Aucun traitement de suppression automatique n’existe dans le code du site ou de Studio inspecté ; ces limites exigent un contrôle et une suppression manuels périodiques documentés.
02Portail projet privé
Un jeton d’accès de 64 caractères, d’abord présent dans l’URL d’invitation, et un identifiant de demande authentifient le navigateur. Le portail récupère le nom, l’entreprise, les détails du projet, le statut et les horodatages, et conserve les messages de 4 000 caractères maximum. Finalité : sécuriser et faire fonctionner l’échange avec le client invité.
Mesures précontractuelles ou exécution du service demandé (art. 6(1)(b)) ; intérêt légitime lié à la sécurité des accès et à la continuité du service (art. 6(1)(f)).
Le site relaie les requêtes vers le service privé Studio grâce à un identifiant de service côté serveur. Les cookies du portail sont HTTP-only et inaccessibles au JavaScript du navigateur. L’URL d’accès, jeton compris, est nécessairement reçue par l’infrastructure de diffusion lors de la première requête. Fadel Santiago et les prestataires d’infrastructure concernés reçoivent les données nécessaires au portail.
Les cookies d’accès durent 90 jours maximum et peuvent être effacés avec « Oublier cet appareil ». La session d’accès Studio cesse elle aussi d’autoriser l’accès après 90 jours. L’expiration du cookie ou de la session ne supprime ni la demande ni les messages ; ces données suivent la règle de 3 ans pour les prospects ou de 5 ans pour la correspondance client. Aucune suppression automatique côté serveur n’est mise en œuvre.
03Mesure d’interaction facultative et interne
Uniquement après consentement, un identifiant aléatoire de navigateur est créé. L’interface actuelle enregistre l’ouverture du brief et la consultation d’un service ou cas d’usage nommé, avec la langue de la page. La table d’événements contient l’identifiant, le nom de l’événement, un contexte limité et la date de création. Elle ne contient pas les champs du formulaire et l’application n’y écrit ni adresse IP ni user-agent.
Consentement (art. 6(1)(a)). Le refus ne modifie pas la navigation normale. Le consentement peut être retiré dans les paramètres de confidentialité.
Enregistrement uniquement dans la base Cloudflare D1 interne au site, accessible à Fadel Santiago et aux prestataires d’infrastructure nécessaires. Ce flux interne n’envoie aucune donnée à Google Analytics ni à une plateforme publicitaire.
L’identifiant du navigateur est supprimé en cas de refus ou de retrait, et lorsqu’un choix expiré est traité. Les événements côté serveur sont limités à 25 mois à compter de leur date. Le code inspecté ne contient aucun traitement de suppression automatique : cette limite exige un contrôle et une suppression manuels périodiques ; une suppression anticipée peut être demandée à tout moment.
04Mesure facultative du portfolio par Google Analytics 4
Uniquement après un choix analytique explicite en cours de validité, le site peut envoyer un événement manuel page_view contenant le chemin de la page sans paramètres de requête ni fragment, un référent assaini, le titre de la page et les données courantes d’appareil et de navigateur recueillies par la balise Google. Il peut aussi envoyer github_click lors de la sélection d’un lien public vers un dépôt et contact_click lors de la sélection d’un lien public vers une demande de projet, l’e-mail ou le téléphone professionnel. Ces interactions manuelles contiennent uniquement les paramètres autorisés project_id le cas échéant, link_type et language ; elles ne contiennent jamais l’adresse e-mail, le numéro de téléphone ni l’URL externe complète. Aucun téléchargement de CV n’est actuellement publié : aucun événement cv_download n’est donc émis. Google peut aussi créer ses événements techniques de session standards, notamment first_visit, session_start et user_engagement ; ils reçoivent le même contexte de page assaini. Les chemins privés du portail sont réduits à /portal avant l’envoi, et les référents externes sont réduits à leur origine. Les noms, adresses e-mail, contenus des demandes, identifiants du portail et identifiant interne du navigateur ne sont pas envoyés. Enhanced Measurement et la détection automatique de la balise Google pour les changements d’historique, défilements, clics sortants, interactions de formulaire, vidéos et téléchargements sont désactivés. Google Signals et les signaux de personnalisation publicitaire sont désactivés ; le stockage publicitaire, les données utilisateur publicitaires et la personnalisation publicitaire restent refusés. Après consentement à la mesure d’audience et uniquement lorsque le serveur confirme qu’une demande de projet a bien été enregistrée, GA4 peut aussi recevoir un événement generate_lead contenant seulement la langue de la page. Cet événement ne contient ni nom, ni adresse e-mail, ni description du projet, ni contenu du message, ni identifiant de demande ou URL du portail. Le traitement opérationnel de la demande envoyée est distinct de cette mesure facultative : la demande est enregistrée indépendamment du consentement analytique, qu’il soit accepté, refusé ou retiré ultérieurement.
Consentement (art. 6(1)(a) du RGPD). Le refus ne modifie pas la navigation normale. Le consentement peut être retiré dans les paramètres de confidentialité, ce qui désactive immédiatement toute collecte ultérieure par la balise déjà chargée et supprime les cookies Google Analytics accessibles.
Google Ireland Limited fournit Google Analytics aux utilisateurs de l’EEE et peut recourir à des sociétés affiliées et sous-traitants selon ses conditions applicables. Aucun Google Tag Manager, Google Ads ni service publicitaire n’est ajouté. Google indique que les adresses IP de l’UE, de Suisse et du Royaume-Uni servent à déduire une localisation approximative avant d’être supprimées et qu’elles ne sont ni journalisées ni conservées.
La propriété Google Analytics a été vérifiée le 21 octobre 2026 : la conservation des données d’événement est réglée sur 2 mois et celle des données utilisateur sur 14 mois, avec réinitialisation de cette dernière en cas de nouvelle activité. Ces réglages de la propriété sont distincts du stockage dans le navigateur. Séparément, le code du site limite les cookies Google Analytics à 180 jours à compter de la première visite consentie et ne renouvelle pas cette échéance.
05Sécurité et diffusion
Toute requête web transmet nécessairement aux services de diffusion et de protection des données techniques telles que l’adresse IP, les en-têtes du navigateur, l’URL demandée et l’heure. Cloudflare peut déposer son cookie essentiel de gestion des robots. Les pages RELAINE chargent actuellement deux captures depuis le domaine de contenu brut de GitHub : GitHub reçoit donc les données normales de ces requêtes.
Intérêt légitime à assurer une diffusion fiable et sécurisée et à présenter le portfolio (art. 6(1)(f)). Le cookie de sécurité Cloudflare est essentiel et non une mesure d’audience facultative.
Le site est publié via OpenAI ChatGPT Sites et utilise l’infrastructure applicative, de sécurité et D1 de Cloudflare. GitHub ne reçoit une requête que lors du chargement d’images RELAINE externes ou lorsqu’un visiteur suit un lien GitHub.
OpenAI et ses sous-traitants conservent les journaux de service, de sécurité et d’exploitation selon le contrat et les politiques applicables à ChatGPT Sites. Leurs durées exactes et la région de déploiement de ce Site ne figurent pas dans sa configuration ; cette notice n’affirme donc ni pays précis ni durée précise pour ces journaux.
