Vos données. <em>Notre silence.</em>

La présente politique de confidentialité décrit les conditions dans lesquelles Grand Line Web collecte, utilise et protège vos données personnelles, en application du Règlement (UE) 2016/679 du 27 avril 2016 (ci-après « RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés. Elle est complétée par la politique relative aux cookies qui détaille spécifiquement le fonctionnement des traceurs déposés sur votre terminal.

Article 1. Responsable du traitement

Le responsable du traitement de vos données personnelles au sens de l'article 4 du RGPD est :

• Rafael Da Mota Cerqueira, agissant sous le nom commercial Grand Line Web
• Entrepreneur individuel, régime de la micro-entreprise
• SIREN : 919 784 769 — SIRET : 919 784 769 00029
• Code APE : 7022Z
• Adresse : 9 Place de l'Église, 43100 Vieille-Brioude, France
• Courriel : contact@grandlineweb.com

Aucun délégué à la protection des données (DPO) n'a été désigné, la nomination n'étant pas requise au regard des critères de l'article 37 du RGPD pour l'activité du Prestataire. Toute demande relative aux données personnelles est traitée directement par Rafael Da Mota Cerqueira à l'adresse électronique ci-dessus.

Article 2. Champ d'application et engagement

La présente politique s'applique à l'ensemble des traitements de données personnelles mis en œuvre par Grand Line Web dans le cadre :

• de la consultation et de la navigation sur le site grandlineweb.com ;
• de l'utilisation du formulaire de contact ;
• de la création et de la gestion d'un compte client ;
• de la passation et du suivi de commandes, devis et factures ;
• de l'exécution des Prestations souscrites (formules de création, suivis mensuels, interventions ponctuelles, options SEO Local) ;
• de l'utilisation de la messagerie projet et du système de tickets de support.

Grand Line Web s'engage à ne traiter vos données que pour les finalités explicitement indiquées dans la présente politique, à les conserver pendant les durées strictement nécessaires, à ne jamais les céder, vendre ou louer à des tiers à des fins commerciales, et à mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir leur sécurité.

Article 3. Données collectées

Les données personnelles collectées varient selon le contexte de votre interaction avec le site et les Prestations.

3.1 Lors de la simple navigation sur le site

Les seules données traitées sans intervention de votre part sont celles strictement nécessaires au fonctionnement technique et à la sécurité du site :

• cookies techniques (laravel_session, XSRF-TOKEN, locale) ;
• adresse IP de connexion, conservée dans les journaux de connexion du serveur d'hébergement à des fins de sécurité et de diagnostic technique ;
• agent utilisateur (type et version de navigateur, système d'exploitation).

Aucun cookie de mesure d'audience ni de cookie publicitaire n'est déposé sans votre consentement préalable explicite.

3.2 Lors de l'utilisation du formulaire de contact

Les informations que vous transmettez volontairement :

• nom (ou prénom) ;
• adresse électronique ;
• nature du projet (formule sélectionnée parmi : Esquisse, Composition, Signature, Hébergement, Maintenance Essentielle, Maintenance Confort, Maintenance Signature, Pack d'heures, Audit, Autre) ;
• contenu du message libre.

Sont également enregistrées, à des fins exclusives de sécurité (lutte contre le spam et les soumissions automatisées) et de qualification de la demande, les métadonnées techniques suivantes :

• adresse IP de connexion ;
• agent utilisateur ;
• page de provenance (referrer) ;
• langue de navigation au moment de la soumission (fr, en ou pt).

3.3 Lors de la création d'un compte client

• nom ou raison sociale ;
• adresse électronique (sert également d'identifiant de connexion) ;
• mot de passe stocké de manière irréversible sous forme de hachage cryptographique (algorithme bcrypt) — le mot de passe en clair n'est jamais conservé ;
• langue préférée de l'interface ;
• date et heure de création du compte, dernière connexion.

3.4 Lors de la passation d'une Commande ou de l'établissement d'un Devis

• identité du Client : nom, prénom ou dénomination sociale, forme juridique ;
• adresse postale et adresse de facturation ;
• numéro SIREN, SIRET et numéro de TVA intracommunautaire le cas échéant ;
• coordonnées électroniques et téléphoniques le cas échéant ;
• détails de la Commande : prestation choisie, montant HT, taux de TVA appliqué, montant TTC, modalités de paiement, statut, dates clés (émission, échéance, paiement, livraison) ;
• identifiant de transaction Stripe (stripe_payment_intent_id) lorsque le paiement est réalisé par carte bancaire — ce seul identifiant technique est conservé, à l'exclusion de toute donnée bancaire complète (voir article 6).

3.5 Lors de l'exécution des Prestations

Dans le cadre de l'exécution de votre projet, Grand Line Web peut être amené à collecter et traiter, exclusivement aux fins de la Prestation :

• les contenus que vous transmettez (textes, visuels, identifiants, documents) ;
• les échanges avec le Prestataire via la messagerie projet (corps des messages, pièces jointes, dates) ;
• les tickets de support (objet, contenu, priorité, statut, pièces jointes, échanges) ;
• les évaluations de satisfaction éventuellement transmises à la clôture d'un ticket.

3.6 Données que Grand Line Web ne collecte pas

Grand Line Web ne collecte ni numéro de carte bancaire, ni cryptogramme, ni données de santé, ni données prétendument sensibles au sens de l'article 9 du RGPD (origine, opinions politiques, convictions religieuses, appartenance syndicale, données biométriques, orientation sexuelle), ni données relatives à des mineurs.

Article 4. Finalités du traitement et bases légales

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale identifiée. Le tableau ci-dessous récapitule, par finalité, le fondement juridique applicable.

Article 5. Caractère obligatoire ou facultatif des données

Les données marquées d'une astérisque ou indiquées comme requises dans les formulaires (nom, adresse électronique, nature du projet, message pour le formulaire de contact ; identité, adresse, montant pour les Commandes) sont nécessaires à la fourniture du service demandé. À défaut de leur communication, le Prestataire se trouvera dans l'impossibilité de répondre à la demande, de conclure le contrat ou de l'exécuter.

Les autres données (téléphone, raison sociale lorsque non requise, etc.) sont facultatives et leur absence n'empêche pas la fourniture du service.

Article 6. Destinataires et sous-traitants

Vos données personnelles sont accessibles, dans la stricte mesure du nécessaire, aux destinataires suivants :

6.1 Personnel interne de Grand Line Web

Rafael Da Mota Cerqueira, en sa qualité d'éditeur unique du site et de Prestataire, est seul à accéder aux données dans l'exercice de son activité.

6.2 Sous-traitants techniques

Grand Line Web fait appel à des sous-traitants au sens de l'article 28 du RGPD, qui n'agissent que sur instruction du Prestataire et dans le cadre d'accords de traitement de données conformes au RGPD :

6.3 Tiers autorisés

Vos données peuvent par ailleurs être communiquées :

• aux autorités administratives et judiciaires sur demande motivée et dans les conditions prévues par la loi ;
• à un éventuel mandataire du Prestataire (expert-comptable, avocat, médiateur de la consommation) dans les strictes limites de sa mission, soumis à une obligation de confidentialité.

Aucune donnée n'est transmise à des fins commerciales, publicitaires ou de prospection à des tiers.

Article 7. Transferts hors Union européenne

L'ensemble des données collectées via le formulaire de contact, les Commandes, les Devis, les comptes clients, la messagerie projet et le système de tickets sont stockées et traitées exclusivement au sein de l'Union européenne, sur les serveurs de l'hébergeur o2switch en France.

Deux exceptions encadrées peuvent donner lieu à un transfert hors Union européenne :

• Stripe : peut être amené à transférer certaines données de transaction vers ses serveurs aux États-Unis. Stripe Payments Europe Ltd est certifiée au titre du Data Privacy Framework (DPF), décision d'adéquation adoptée par la Commission européenne le 10 juillet 2023 (décision (UE) 2023/1795), garantissant un niveau de protection essentiellement équivalent à celui du RGPD.
• Google Analytics 4 (uniquement si vous y consentez) : Google LLC est également certifiée au titre du Data Privacy Framework. Les données collectées sont pseudonymisées avant transfert et l'adresse IP est tronquée (anonymisation IP activée par défaut sur GA4).

Aucun transfert n'est effectué vers un pays ne bénéficiant pas d'une décision d'adéquation ou de garanties appropriées au sens des articles 45 et 46 du RGPD.

Article 8. Durées de conservation

Conformément au principe de limitation de la conservation prévu à l'article 5.1.e du RGPD, vos données ne sont conservées que le temps strictement nécessaire à la finalité poursuivie. Les durées appliquées sont les suivantes :

À l'issue des durées indiquées, les données sont soit supprimées, soit anonymisées de manière irréversible (notamment à des fins statistiques internes). Les données soumises à une obligation légale de conservation sont mises hors de tout traitement actif et placées en archivage intermédiaire jusqu'à expiration du délai légal.

Article 9. Sécurité des données

Grand Line Web met en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD :

• chiffrement des communications via le protocole HTTPS (TLS) sur l'ensemble du site ;
• protection des formulaires contre les attaques de type Cross-Site Request Forgery (jeton CSRF) ;
• protection contre les soumissions automatisées (honeypot et limitation du nombre de soumissions par IP, fixée à 3 soumissions par tranche de 10 minutes) ;
• hachage cryptographique irréversible des mots de passe (algorithme bcrypt) ;
• traçabilité des actions sensibles dans la base de données ;
• sauvegardes quotidiennes des bases de données par l'hébergeur o2switch ;
• traitement des paiements bancaires délégué intégralement à Stripe, certifié PCI-DSS niveau 1 ;
• accès aux interfaces d'administration limité au seul Prestataire, par authentification renforcée ;
• mises à jour régulières des composants techniques (système d'exploitation, gestionnaire de paquets, framework, dépendances).

Aucun système n'étant infaillible, Grand Line Web s'engage en cas de violation de données présentant un risque pour vos droits et libertés à notifier la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD, et à vous informer dans les meilleurs délais conformément à l'article 34 lorsque la violation présente un risque élevé.

Article 10. Vos droits

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez sur vos données personnelles des droits suivants :

• Droit d'accès (article 15 RGPD) : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie.
• Droit de rectification (article 16 RGPD) : faire corriger les données inexactes ou compléter celles qui seraient incomplètes.
• Droit à l'effacement (article 17 RGPD), dit « droit à l'oubli » : obtenir l'effacement de vos données dans les cas prévus par la loi, notamment lorsque les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées, lorsque vous retirez votre consentement, ou lorsque vous vous opposez au traitement.
• Droit à la limitation du traitement (article 18 RGPD) : obtenir le gel temporaire du traitement, notamment en cas de contestation de l'exactitude des données.
• Droit à la portabilité (article 20 RGPD) : recevoir les données que vous avez fournies, dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement.
• Droit d'opposition (article 21 RGPD) : vous opposer, à tout moment, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime du Prestataire.
• Droit de retirer votre consentement à tout moment (article 7.3 RGPD), pour les traitements fondés sur le consentement (mesure d'audience notamment), sans que ce retrait n'affecte la licéité des traitements antérieurs.
• Droit de définir des directives relatives au sort de vos données après votre décès, en application de l'article 85 de la loi n° 78-17 du 6 janvier 1978 modifiée. Ces directives peuvent être générales (déposées auprès d'un tiers de confiance certifié) ou particulières (transmises directement au Prestataire).

Modalités d'exercice

Pour exercer ces droits, vous pouvez écrire à l'adresse contact@grandlineweb.com en précisant l'objet de votre demande et en justifiant de votre identité par tout moyen, ou par courrier postal au siège du Prestataire (9 Place de l'Église, 43100 Vieille-Brioude, France).

Le Prestataire répond à votre demande dans un délai d'un mois à compter de sa réception, ce délai pouvant être prolongé de deux mois en raison de la complexité ou du nombre de demandes, conformément à l'article 12.3 du RGPD. Vous serez alors informé de cette prolongation et de ses motifs.

L'exercice de vos droits est gratuit, sauf demande manifestement infondée ou excessive (notamment en raison de leur caractère répétitif), auquel cas le Prestataire pourra exiger des frais raisonnables tenant compte des coûts administratifs ou refuser de donner suite, conformément à l'article 12.5 du RGPD.

Droit d'introduire une réclamation

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

• 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Téléphone : 01 53 73 22 22
• Site : www.cnil.fr

Article 11. Cookies et traceurs

Le site grandlineweb.com utilise un nombre limité de cookies. Le détail complet (catégories, finalités, durées, émetteurs) figure dans la politique relative aux cookies. Synthèse :

• Cookies strictement nécessaires au fonctionnement du site (laravel_session, XSRF-TOKEN, locale) : déposés sans recueil préalable de votre consentement, conformément à l'article 82 alinéa 2 de la loi Informatique et Libertés.
• Cookies de mesure d'audience (Google Analytics 4 — _ga, _ga_[ID], _gid) : déposés exclusivement après votre consentement explicite, recueilli via la bannière de consentement présente au premier chargement du site et modifiable à tout moment via le lien « Gérer les cookies » présent en pied de page.

Le site n'utilise aucun cookie publicitaire, aucun cookie de réseau social, aucun cookie de profilage ou de pistage tiers.

Article 12. Décisions automatisées et profilage

Grand Line Web ne met en œuvre aucune décision exclusivement automatisée produisant des effets juridiques ou affectant significativement les personnes concernées, au sens de l'article 22 du RGPD. Aucun profilage commercial n'est réalisé sur la base de vos données.

Article 13. Modification de la politique

La présente politique peut être modifiée à tout moment afin de refléter les évolutions techniques, fonctionnelles ou réglementaires applicables. La version en vigueur est celle accessible sur le site à la date de votre consultation, la date de dernière mise à jour étant indiquée en tête de page.

En cas de modification substantielle affectant vos droits ou vos données, vous serez informé par tout moyen approprié, notamment par courrier électronique pour les titulaires d'un compte client.

Article 14. Contact et coordonnées utiles

Pour toute question, demande d'information, exercice de droits ou réclamation relative à vos données personnelles :

• Par courrier électronique : contact@grandlineweb.com
• Par courrier postal : Rafael Da Mota Cerqueira — Grand Line Web, 9 Place de l'Église, 43100 Vieille-Brioude, France

Pour toute réclamation auprès de l'autorité de contrôle :

• Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr