Ce qu’on fait — et surtout ce qu’on ne fait pas.

Ce qu’on ne fait pas

• Aucun tracker tiers. Pas de Google Analytics, pas de Facebook Pixel, pas de Hotjar, pas de Mixpanel. Zéro pixel publicitaire.
• Aucun cookie. Pas de cookie analytique, pas de cookie publicitaire, pas de cookie de session persistant. Aucun bandeau de consentement parce qu'il n'y a rien à consentir.
• Aucun fingerprinting.Pas d'empreinte navigateur, pas de scoring comportemental, pas de profilage.
• Aucun transfert hors UE non strictement nécessaire à un service que vous demandez explicitement.

Ce qui est collecté — quand vous le saisissez

Une seule action collecte des données : le formulaire de contact (/contact). Ce que vous y saisissez (prénom, email ou téléphone, message éventuel, disponibilités) est traité comme suit :

• Base légale :exécution d'une mesure précontractuelle à votre demande (RGPD art. 6.1.b).
• Finalité :vous recontacter sur votre demande d'information. Rien d'autre.
• Durée de conservation : 30 jours après le dernier échange. Suppression automatique ensuite.
• Destinataires : uniquement Evan Elliot. Aucun partage à un tiers (CRM, prestataire marketing, etc.).
• Sous-traitants :le serveur d'hébergement (Vercel ou équivalent — voir mentions légales). Aucun autre.

Note démo : sur ce site, aucun email n'est réellement envoyé et aucune donnée n'est stockée. Voir à propos de cette démo.

Logs serveur techniques

L'hébergeur conserve des logs techniques (adresses IP, user-agent, code de retour, date) à des fins de sécurité et d'observabilité :

• Rétention : 14 jours en clair, agrégats statistiques au-delà
• Adresses IP : utilisées pour le rate-limit (lutte anti-abus), jamais croisées avec d'autres données
• Aucun log de body de requête, aucun log de contenu de formulaire

Vos droits

Vous pouvez à tout moment, par simple email à contact@evan-elliot.example (fictif sur cette démo) :

• Accéder aux données vous concernant (art. 15)
• Faire rectifier une donnée inexacte (art. 16)
• Faire effacer vos données (art. 17), sauf obligation légale de conservation (factures notamment)
• Vous opposer au traitement (art. 21)
• Demander la portabilité de vos données (art. 20)

Réponse sous 30 jours maximum (généralement sous 48 h). Si la réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL.

Sécurité des données

Mesures techniques mises en œuvre :

• Chiffrement en transit (TLS 1.3, HSTS 1 an)
• Chiffrement au repos sur le stockage hébergeur
• Content-Security-Policy stricte par nonce + strict-dynamic
• Validation stricte des entrées utilisateur (Zod)
• Cap de taille sur les corps de requête (4 KiB sur /api/contact)
• Rate-limit IP-based
• Honeypot anti-bot
• Aucune information sensible dans les réponses API

En cas de violation de données vous concernant, vous serez notifié sous 72 h et la CNIL également (RGPD art. 33-34).