Politique de confidentialité.

1. Objet & champ d'application

La présente politique de confidentialité décrit comment Ali DAOUD, exerçant sous le nom commercial « trackcvrt. » (ci-après « trackcvrt »), collecte, traite et protège les données personnelles dans le cadre du service trackcvrt, plateforme d'analyse comportementale post-clic. Elle s'applique aux personnes suivantes :

• Les clients trackcvrt (personnes physiques utilisatrices du tableau de bord)
• Les visiteurs des sites web clients (dont le comportement est analysé par le tracker)
• Les prospects et visiteurs du site trackcvrt.com

2. Identité du responsable de traitement

• Nom : Ali DAOUD
• Nom commercial : trackcvrt.
• Forme juridique : Entrepreneur individuel (personne physique)
• Adresse : 38 rue Sainte Baume, 13010 Marseille, France
• SIREN : 531 430 999
• Hébergement du site trackcvrt.com : Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA (vercel.com)
• Contact général : legal@trackcvrt.com

3. Délégué à la protection des données (DPO)

trackcvrt a désigné un Délégué à la Protection des Données, joignable à l'adresse dpo@trackcvrt.com. Le DPO est votre interlocuteur dédié pour toute question relative au traitement de vos données personnelles.

4. Principes directeurs

trackcvrt a été conçu selon le principe de privacy by design (art. 25 RGPD). Nous respectons les principes suivants :

• Licéité, loyauté, transparence, tout traitement est documenté et communiqué.
• Limitation des finalités, les données ne sont traitées que pour les finalités explicites décrites ci-dessous.
• Minimisation, nous ne collectons que les données strictement nécessaires à l'analyse comportementale.
• Exactitude, les données inexactes sont rectifiées ou effacées sans délai.
• Limitation de la conservation, les données sont supprimées à l'issue de leur durée de conservation.
• Intégrité et confidentialité, mesures techniques et organisationnelles adaptées (§10).
• Responsabilité, trackcvrt est en mesure de démontrer sa conformité (registre des traitements tenu à jour).

5. Pas de cookies, pas de bandeau

Le tracker trackcvrt ne dépose aucun cookie sur le navigateur du visiteur. L'identifiant visiteur (visitor_id) est stocké dans le localStorage du navigateur et est :

• Anonyme, généré aléatoirement (UUID v4), non relié à une identité réelle
• Non-réversible, impossible de retrouver un individu à partir de cet ID
• Local, stocké uniquement dans le navigateur du visiteur

À ce titre, l'usage de trackcvrt ne nécessite pas de bandeau de consentement préalable au sens des règles applicables aux cookies (directive ePrivacy et recommandations des autorités de protection des données). Les sites clients restent libres et responsables de la configuration de leur propre politique cookies pour d'autres outils présents sur leur site.

6. Finalités du traitement

6.1 Visiteurs des sites clients

Les données comportementales sont collectées pour :

• Analyser les parcours de navigation (pages vues, clics, scroll, engagement)
• Détecter les frictions (rage clicks, clics morts, formulaires abandonnés, temps figé)
• Mesurer les taux de conversion et les performances du funnel
• Fournir au client des diagnostics agrégés sur la performance de ses pages

6.2 Clients trackcvrt

Les données client sont traitées pour :

• Gérer le compte (authentification, configuration)
• Facturer l'Abonnement
• Fournir le support technique et commercial
• Envoyer les communications relatives au Service (notifications, évolutions)
• Améliorer le Service via des retours d'usage (anonymisés quand possible)

7. Base légale des traitements

• Exécution du contrat (art. 6.1.b RGPD), pour la gestion du compte client et la facturation.
• Intérêt légitime (art. 6.1.f RGPD), pour l'analyse comportementale agrégée des visiteurs des sites clients. L'intérêt consiste à permettre au site client de mieux comprendre son audience et d'optimiser son funnel. Cet intérêt est mis en balance avec les droits des personnes concernées : trackcvrt ne collecte aucune donnée identifiante, n'effectue aucun profilage individuel, et respecte le signal Do Not Track.
• Obligation légale (art. 6.1.c RGPD), pour certaines obligations comptables ou fiscales.

8. Catégories de données collectées

8.1 Par événement de navigation (visiteurs)

• visitor_id, identifiant aléatoire localStorage, non-réversible
• session_id, identifiant éphémère de session (30 min d'inactivité = nouvelle session)
• url, page visitée (avec filtrage des paramètres sensibles courants : token, password, auth, etc.)
• referrer, page référente (domaine uniquement, pas le path complet)
• utm_source / utm_medium / utm_campaign, si présents dans l'URL
• viewport_w / viewport_h, dimensions de la fenêtre (déduction device : mobile/tablet/desktop)
• received_at, horodatage serveur
• lat_round / lng_round, géolocalisation arrondie à 0.1° (≈ 11 km de précision, via IP côté serveur, IP brute non conservée)
• country, code pays ISO (dérivé de l'IP, IP brute non conservée)

8.2 Événements spécifiques

• Coordonnées de clic (x, y) relatives à la page, pour la carte de chaleur
• Profondeur de scroll (0-100 %)
• Temps d'engagement (engagedMs) par page
• Sélecteur CSS de l'élément cliqué (classe, id, balise, jamais le contenu)
• Erreurs JavaScript (message + fichier + ligne, pas de stack trace détaillée, pas de variables)

8.3 Données client (compte)

• Adresse e-mail
• Mot de passe hashé (bcrypt, jamais stocké en clair)
• Nom, prénom (facultatif)
• Entreprise (facultatif)
• Informations de facturation (adresse, TVA, moyen de paiement via Stripe, données bancaires jamais stockées sur nos serveurs)
• Logs de connexion et d'activité

9. Ce qui n'est JAMAIS collecté

• Adresse IP brute (seule la géolocalisation arrondie est dérivée puis l'IP est jetée immédiatement)
• Nom, prénom, e-mail, téléphone des visiteurs des sites clients
• Contenu des formulaires, mots de passe, numéros de carte, saisies texte, champs fichiers
• Historique de navigation hors du site client, trackcvrt ne trace pas les visiteurs à travers les sites
• Fingerprinting navigateur ou device, aucune technique de tracking tierce
• Données biométriques, de santé, religieuses, politiques, syndicales, données sensibles au sens de l'art. 9 RGPD

10. Sécurité des données

trackcvrt met en œuvre des mesures techniques et organisationnelles adaptées pour garantir la sécurité et la confidentialité des données personnelles :

Mesures techniques

• Chiffrement en transit, TLS 1.3 sur toutes les communications
• Chiffrement au repos, AES-256 sur les données stockées en base
• Authentification, mots de passe hashés (bcrypt, coût 12), support MFA, tokens JWT courts
• Isolation multi-tenant, Row Level Security Postgres garantit qu'aucun client ne peut accéder aux données d'un autre
• Sauvegardes chiffrées, quotidiennes, conservées 30 jours, testées mensuellement
• Logs d'accès, traçabilité de toute opération sur les données
• Filtrage d'URL sensible, tokens, passwords, auth retirés automatiquement
• Respect du signal DNT, le tracker honore l'en-tête DNT: 1

Mesures organisationnelles

• Politique de mot de passe forte pour l'équipe (MFA obligatoire, rotation tous les 90 jours)
• Accès aux données limité au strict besoin, audit trimestriel des privilèges
• Formation annuelle des employés à la sécurité et au RGPD
• Clauses de confidentialité dans les contrats de travail
• Procédure documentée de gestion des incidents de sécurité

11. Durées de conservation

• Événements bruts, 14 mois glissants puis suppression automatique
• Agrégats anonymisés (statistiques, snapshots, benchmarks), durée de l'Abonnement + 3 ans
• Données compte client, pendant toute la durée de l'Abonnement + 30 jours après résiliation pour export, puis suppression
• Données de facturation, 10 ans (obligation comptable, art. L123-22 C. com.)
• Logs de sécurité, 12 mois
• Données prospects (newsletter, formulaires), 3 ans après le dernier contact

12. Destinataires des données

Les données collectées sont accessibles :

• Au Client trackcvrt titulaire du compte (pour les données agrégées de son projet)
• Aux équipes trackcvrt habilitées (support, tech, DPO) avec accès restreint par rôle
• Aux sous-traitants (hébergement, paiement, e-mailing, détaillés §13)
• Aux autorités publiques sur réquisition légale motivée

Les données ne sont jamais vendues à des tiers. Aucune cession commerciale n'est effectuée.

13. Sous-traitants

trackcvrt recourt à des sous-traitants pour certaines opérations techniques. Chaque sous-traitant est lié par un contrat de sous-traitance (DPA) conforme à l'art. 28 RGPD :

• Vercel Inc., hébergement du site et de l'infrastructure applicative · États-Unis (vercel.com)
• Supabase, Inc., base de données · États-Unis (supabase.com)
• Stripe, Inc., traitement des paiements · États-Unis (stripe.com)
• Resend, envoi d'e-mails transactionnels · États-Unis (resend.com)

Les sous-traitants opèrent principalement sur des infrastructures situées aux États-Unis. La liste est tenue à jour, toute modification est notifiée aux Clients par e-mail au moins 30 jours avant l'entrée en vigueur.

14. Transferts hors UE

L'infrastructure de trackcvrt est principalement située aux États-Unis. trackcvrt ne collecte que des événements anonymes (aucune donnée personnelle identifiante), ce qui réduit fortement la portée des règles de transfert international. Lorsque des données relevant du RGPD sont concernées, les transferts s'appuient sur des garanties appropriées (clauses contractuelles types).

Précision importante : trackcvrt est édité depuis la France, mais son infrastructure technique est opérée par les sous-traitants listés en section 13, dont les serveurs sont situés aux États-Unis. Les données y sont donc hébergées, et consultées à des fins de support, d'administration technique ou de sécurité. Ces accès sont :

• Encadrés par des politiques internes de confidentialité et d'accès restreint par rôle
• Tracés dans les logs de sécurité
• Limités au strict besoin opérationnel
• Soumis à l'obligation de notification en cas d'incident

Ces accès administratifs ponctuels sont considérés comme des transferts internationaux de données au sens de l'art. 44 RGPD et sont encadrés, le cas échéant, par des Clauses Contractuelles Types (CCT) validées par la Commission européenne. Tout changement substantiel de localisation fera l'objet d'une mise à jour de la présente politique avec notification préalable des Clients.

15. Vos droits

Conformément au RGPD (art. 15 à 22), vous disposez des droits suivants sur les données vous concernant :

• Droit d'accès, obtenir une copie des données vous concernant
• Droit de rectification, corriger une donnée inexacte ou incomplète
• Droit à l'effacement, demander la suppression (« droit à l'oubli »)
• Droit d'opposition, vous opposer au traitement pour motif légitime (Do Not Track respecté par défaut)
• Droit à la limitation, suspendre le traitement en cas de contestation
• Droit à la portabilité, récupérer vos données dans un format structuré (JSON/CSV) pour les transférer ailleurs
• Droit de définir des directives post-mortem, conformément à l'art. 40-1 de la loi Informatique et Libertés
• Droit de retirer son consentement à tout moment, lorsque le traitement est fondé sur le consentement

16. Exercer vos droits

Pour exercer ces droits, écrivez à dpo@trackcvrt.com en précisant :

• Votre identité (pièce justificative acceptée si doute sur l'identité)
• Le droit que vous souhaitez exercer
• Les précisions utiles (ex : période concernée, catégorie de données)

trackcvrt répond dans un délai maximal de 30 jours (prolongé à 60 jours en cas de demande complexe). Une réponse d'attente est envoyée sous 5 jours ouvrés.

17. Droit de réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation aupres de l'autorite de protection des donnees competente de votre pays de residence (par exemple, au sein de l'Union Europeenne, votre autorite nationale de controle).

18. Cookies sur trackcvrt.com (site institutionnel)

Le site trackcvrt.com (landing page, tableau de bord) utilise un nombre minimal de cookies strictement nécessaires au fonctionnement :

• Cookies de session (authentification), supprimés à la fermeture du navigateur ou à la déconnexion
• Cookies de préférence (thème clair/sombre), 30 jours

Ces cookies sont exempts de consentement au sens des règles applicables aux cookies. Aucun cookie tiers publicitaire ou analytics n'est déposé sur trackcvrt.com.

19. Protection des mineurs

Le Service n'est pas destiné aux mineurs de moins de 15 ans. trackcvrt ne collecte pas sciemment de données personnelles de mineurs. Si un Client identifie qu'un mineur a créé un compte sans consentement parental, il doit le signaler à dpo@trackcvrt.com pour suppression immédiate.

20. Notification de violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour les droits et libertés des personnes, trackcvrt notifie l'autorite de protection des donnees competente dans les 72 heures suivant la découverte, conformément à l'art. 33 RGPD. Les personnes concernées sont informées directement si le risque est élevé, conformément à l'art. 34 RGPD.

21. Analyse d'impact (AIPD)

trackcvrt a mené une analyse d'impact sur la protection des données (AIPD) conformément à l'art. 35 RGPD. Le traitement réalisé par trackcvrt (analyse comportementale agrégée, sans profilage individuel, sans données sensibles) ne présente pas de risque élevé pour les droits et libertés des personnes. L'AIPD est mise à jour annuellement ou en cas de changement substantiel du Service.

22. Do Not Track (DNT)

Le tracker trackcvrt respecte l'en-tête DNT: 1. Si votre navigateur envoie ce signal, aucun événement n'est collecté, aucun identifiant n'est généré. Pour activer DNT :

• Firefox : Préférences → Vie privée → Do Not Track
• Chrome : Paramètres → Confidentialité et sécurité → Envoyer une demande « Ne pas me suivre »
• Safari : Préférences → Confidentialité → Demander aux sites web de ne pas me suivre

23. Registre des activités de traitement

Conformément à l'art. 30 RGPD, trackcvrt tient à jour un registre des activités de traitement documentant toutes les finalités, catégories de données, destinataires et durées de conservation. Ce registre est mis à disposition de l'autorité de protection des données compétente sur demande.

24. Modifications de la politique

La présente politique peut être mise à jour pour refléter l'évolution du Service, des sous-traitants ou de la réglementation. Toute modification substantielle est notifiée aux clients par e-mail au moins 30 jours avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page.

25. Contact DPO

Pour toute question relative à la protection des données, à l'exercice de vos droits ou à un incident de sécurité présumé, écrivez à :

• Délégué à la Protection des Données : dpo@trackcvrt.com
• Adresse postale : Ali DAOUD, À l'attention du DPO, 38 rue Sainte Baume, 13010 Marseille, France

Réponse garantie sous 5 jours ouvrés, traitement de la demande sous 30 jours.