Confidentialité et cookies

Dans cette page, « je » désigne Simon Cavrenne, vidéaste : je gère ce site sous le nom Cav Production et je lis les messages que vous m'envoyez.

Éditeur du site et responsable du traitement de vos données :

Ce que je reçois. Le formulaire de contact me transmet votre nom, votre adresse e-mail et votre message, ainsi que les autres champs que vous remplissez (par exemple votre organisation, votre téléphone, le type de projet, la date et le lieu). S'y ajoutent la langue et la page du site d'où vous écrivez, et la date d'envoi.

Pourquoi. Pour vous répondre et, si nous travaillons ensemble, pour préparer votre projet. Vous recevez aussi un accusé de réception par e-mail.

Protection contre les abus. Pour écarter les robots, le formulaire utilise un champ invisible, un délai minimal avant l'envoi et la vérification BotID de Vercel. Celle-ci s'active quand vous commencez à utiliser un formulaire et analyse alors votre navigateur pour distinguer une personne d'un programme. Le site limite aussi le nombre de messages : 5 par heure, par adresse e-mail et par connexion. Pour appliquer cette limite, il peut garder avec votre message, pendant 24 heures au plus, une empreinte de votre adresse IP calculée avec une clé secrète. L'adresse IP elle-même n'est jamais enregistrée.

Base légale. Les échanges que vous demandez avant un éventuel contrat (article 6.1.b du RGPD). Pour l'accusé de réception, la conservation des messages et la protection contre les abus : mon intérêt légitime à suivre les demandes reçues et à protéger le site (article 6.1.f).

Qui y a accès. Moi et les administrateurs du site, ainsi que les prestataires techniques qui traitent votre message pour mon compte : Convex (base de données du site, en Irlande), Resend (envoi des e-mails, depuis l'Irlande, sans suivi des ouvertures ni des clics) et Vercel (fonctionnement du site, aux États-Unis (Washington)). La notification arrive dans ma messagerie [OVHcloud, France : à confirmer].

Combien de temps. 2 ans après la réception dans la base du site, puis suppression automatique. Le journal d'envoi de Resend est gardé 30 jours. Dans ma messagerie : [durée à confirmer par Simon]. Vous pouvez me demander de supprimer votre message plus tôt.

Pourquoi. Savoir quelles pages et quelles vidéos vous intéressent, d'où viennent les visiteurs et si le contact est facile à trouver, pour améliorer le site.

Avec quel outil. PostHog, sur ses serveurs de l'Union européenne (Francfort). Les données passent par une adresse de ce site (/relais). PostHog est réglé pour ne pas conserver les adresses IP.

Ce qui est mesuré. Les pages vues et leur langue ; le site ou le lien d'où vous arrivez, y compris les paramètres de suivi d'un lien (« utm ») ; le type d'appareil, le navigateur et le système ; les clics vers les prestations (depuis l'accueil et le menu), sur les boutons de contact et sur le bouton de lecture des vidéos ; le fait de commencer et d'envoyer le formulaire de contact, jamais ce que vous y écrivez. Je ne vois que des chiffres d'ensemble, je ne cherche pas à vous identifier et je ne relie pas ces statistiques à vos messages. Les visites des administrateurs du site ne sont pas comptées.

Sans votre accord (avant votre choix, ou si vous refusez). Rien n'est enregistré sur votre appareil. Pour distinguer les visites d'une même journée, PostHog calcule sur ses serveurs une empreinte à partir de votre adresse IP et de votre navigateur, avec une clé qui change chaque jour et n'est pas conservée : d'un jour à l'autre, vous n'êtes pas reconnu. Base légale : mon intérêt légitime à connaître la fréquentation de mon site (article 6.1.f du RGPD). Vous pouvez vous y opposer à tout moment : « Gérer les cookies », puis « Ne pas compter mes visites ».

Avec votre accord (bouton « Accepter »). PostHog enregistre dans votre navigateur un identifiant aléatoire qui relie vos visites entre elles, pendant 6 mois au plus : un cookie, plus des informations sur la visite en cours, gardées jusqu'à la fermeture de l'onglet. Base légale : votre consentement (article 6.1.a du RGPD et article 10/2 de la loi du 30 juillet 2018). Vous pouvez le retirer à tout moment, aussi simplement que vous l'avez donné, avec « Gérer les cookies » : l'identifiant est alors aussitôt effacé de votre navigateur. Le retrait ne remet pas en cause ce qui a été mesuré avant.

Signaux de votre navigateur. Si votre navigateur envoie le signal « Do Not Track » ou « Global Privacy Control », rien n'est mesuré, sauf si vous acceptez expressément les statistiques avec « Gérer les cookies ».

Combien de temps. Les statistiques sont effacées au plus tard 2 ans après leur collecte.

Mes films sont hébergés sur YouTube, un service de Google. Tant que vous ne cliquez pas sur le bouton de lecture, votre navigateur ne contacte pas YouTube : l'image d'aperçu est servie par ce site. Quand vous cliquez, le lecteur se charge en mode « confidentialité renforcée » (youtube-nocookie.com). Google reçoit alors votre adresse IP et des informations techniques sur votre navigateur, et peut enregistrer des informations sur votre appareil. Ce que Google fait de ces données relève de sa responsabilité : voir les règles de confidentialité de Google.

Le site est hébergé par Vercel. Comme pour tout site, chaque visite transmet à l'hébergeur des données techniques (adresse IP, navigateur, page demandée, date et heure) pour afficher les pages, les protéger et corriger les erreurs. Les pages sont servies par le réseau mondial de Vercel, au plus près de vous ; les traitements du serveur, comme l'envoi du formulaire, ont lieu aux États-Unis (Washington). Les courtes vidéos d'ambiance du haut des pages sont servies par Vercel Blob (stockage à Francfort). Le contenu du site et les messages sont gardés par Convex, en Irlande. Les polices de caractères sont hébergées sur le site : aucun appel aux serveurs de Google pour afficher le texte. La langue est donnée par l'adresse de la page (/nl, /en) : il n'y a pas de cookie de langue.

Base légale : mon intérêt légitime à fournir un site sûr et qui fonctionne (article 6.1.f). Durée : celle des journaux techniques de Vercel [durée à relever].

Cette partie ne concerne que les personnes qui ont accès à l'administration, ou qui le demandent. Le site garde l'adresse e-mail des administrateurs, leur mot de passe sous une forme illisible (haché) et leurs sessions de connexion (Convex Auth). Une demande d'accès envoyée depuis la page de connexion (nom, e-mail, message) est transmise par e-mail aux administrateurs (Resend), puis acceptée ou refusée. Base légale : mon intérêt légitime à gérer et sécuriser l'administration du site (article 6.1.f). Durée : les comptes, tant que l'accès est ouvert ; les demandes d'accès, 1 an après la décision (ou après leur envoi si elles restent sans réponse), puis suppression automatique.

Certains éléments sont indispensables : ils mémorisent vos choix ou font fonctionner ce que vous demandez, et ne servent à rien d'autre. Les autres ne sont déposés qu'avec votre accord. Il n'y a ni cookie publicitaire ni cookie de langue.

Au chargement, l'outil de statistiques vérifie que le stockage de votre navigateur fonctionne : il écrit une valeur de test et l'efface aussitôt. Rien n'est conservé.

• Messages du formulaire (base du site) : 2 ans après la réception, puis suppression automatique.
• Empreinte de l'adresse IP (protection contre les abus) : 24 heures au plus.
• Journal d'envoi des e-mails (Resend) : 30 jours.
• Messages dans ma messagerie : [durée à confirmer par Simon].
• Statistiques (PostHog) : 2 ans au plus.
• Votre choix sur les cookies : 6 mois.
• Identifiant de statistiques (après accord) : 6 mois au plus, effacé dès que vous retirez votre accord.
• Journaux techniques de l'hébergeur : [durée à relever].
• Comptes d'administration : tant que l'accès est ouvert.
• Demandes d'accès à l'administration : 1 an après la décision.

Je ne vends ni ne loue vos données, je n'affiche pas de publicité et je ne prends aucune décision automatisée à votre sujet. Seuls ces prestataires techniques y ont accès, pour le compte de l'éditeur :

• Vercel Inc. (États-Unis) : hébergement, protection BotID, vidéos d'ambiance ;
• Convex, Inc. (États-Unis) : base de données du site, hébergée en Irlande ;
• Resend (États-Unis) : envoi des e-mails, depuis l'Irlande ;
• PostHog (États-Unis) : statistiques, hébergées à Francfort ;
• ma messagerie [OVHcloud, France : à confirmer].

Quand vous lancez une vidéo, Google (YouTube) reçoit aussi des données, sous sa propre responsabilité.

Transferts hors de l'Union européenne. Même quand les données sont hébergées dans l'Union européenne, ces sociétés américaines ou leurs propres sous-traitants peuvent y accéder depuis les États-Unis, par exemple pour le support technique. Les traitements du serveur du site ont lieu aux États-Unis. Ces transferts reposent sur la décision d'adéquation de la Commission européenne pour le cadre de protection des données UE–États-Unis (Data Privacy Framework), pour les sociétés certifiées (Vercel, Resend, PostHog, Google), et sur les clauses contractuelles types de la Commission européenne prévues par leurs contrats (Convex, PostHog).

Vous pouvez à tout moment : accéder à vos données et en obtenir une copie ; les faire corriger ; les faire effacer ; en faire limiter l'utilisation ; les recevoir dans un format courant pour les transmettre à quelqu'un d'autre ; vous opposer à leur utilisation fondée sur l'intérêt légitime, notamment à la mesure sans cookie ; retirer votre consentement, sans effet sur ce qui a été fait avant.

Pour cela, écrivez-moi à contact@cavproduction.com. Je réponds dans un délai d'un mois, prolongeable de deux mois si la demande est complexe (je vous préviens alors). C'est gratuit. En cas de doute raisonnable sur votre identité, je peux vous demander de la confirmer.

Les statistiques ne permettent pas de vous identifier : je ne peux donc pas y retrouver vos données à partir de votre nom ou de votre adresse e-mail. « Gérer les cookies » vous laisse décider de ce qui est mesuré.

Si vous estimez que vos données ne sont pas traitées correctement, vous pouvez introduire une réclamation auprès de l'Autorité de protection des données : Rue de la Presse 35, 1000 Bruxelles · +32 2 274 48 00 · contact@apd-gba.be · www.autoriteprotectiondonnees.be. Si possible, écrivez-moi d'abord : je ferai le nécessaire.

Je mets cette page à jour quand le site change (nouvel outil, nouvelle utilisation de vos données). Le numéro de version et la date figurent en haut de la page, et les versions précédentes sont conservées. Si un changement concerne les cookies soumis à votre accord, je vous reposerai la question.