Aller au contenu
wheremyflow
Connexion Démarrer gratuitement
Fonctionnalités Tarifs Comparatif Manifeste Aide Audit Contact Démo Connexion

Politique de confidentialité

Dernière mise à jour : 3 mai 2026.

Cette politique décrit comment wheremyflow (édité par Frédéric GAVEAU EI, 6 rue du Château, 12190 Estaing, France) traite les données personnelles à deux niveaux distincts :

  1. Visiteurs des sites trackés par nos clients (utilisateurs finaux mesurés).
  2. Utilisateurs du service wheremyflow (clients qui souscrivent un abonnement).

1. Visiteurs des sites trackés

1.1 Aucune donnée personnelle stockée

Le tracker w.js est conçu pour ne jamais collecter ni stocker d'identifiant direct. Les données techniques captées (adresse IP, User-Agent) sont anonymisées en mémoire avant insertion en base :

  • L'adresse IP est utilisée uniquement pour la géolocalisation au pays/région/ville (via la base souveraine DB-IP d'Eris Networks, hébergée en France) puis hashée HMAC-SHA256 avec un sel à rotation mensuelle (la date du jour étant concaténée dans l'input du HMAC, l'identifiant visiteur final rotate quotidiennement). L'IP brute n'atteint jamais la base de données.
  • Le User-Agent est minimisé à la famille du navigateur (Chrome, Firefox, Safari, Edge, Opera, Other) sans numéro de version, et à la famille d'OS.
  • La résolution d'écran est bucketisée en 5 catégories.
  • La langue est limitée au code ISO 2 caractères.
  • Le referrer est limité au nom de domaine (hostname).

Aucun cookie n'est posé dans le navigateur du visiteur. L'identifiant utilisé pour dédupliquer les visites uniques est un hash HMAC-SHA256 calculé côté serveur à chaque événement, changeant chaque jour et différent pour chaque site (rotation implicite + isolation par site_id).

1.3 Base légale

L'intérêt légitime de l'éditeur du site à mesurer son audience (article 6.1.f RGPD), couplé à l'exemption de consentement prévue à l'article 82 de la loi Informatique et Libertés et précisée par le référentiel CNIL de juillet 2025.

1.4 Droits des visiteurs

Les visiteurs disposent du droit d'opposition, exercé selon trois modalités :

  • en activant Do Not Track dans les paramètres de leur navigateur,
  • en activant Global Privacy Control (Sec-GPC),
  • en utilisant le bouton/snippet d'opt-out fourni par l'éditeur du site (s'il est intégré).

1.5 Durée de conservation

| Donnée | Durée | | ---------------------------------- | ------------------------------------------------------------------------ | | Événements bruts (events) | 90 jours | | Statistiques quotidiennes agrégées | 25 mois | | Sel d'anonymisation actif | 1 mois (rotation automatique) | | Sel retiré | 0 jour — supprimé atomiquement à la rotation (doctrine Plausible/Fathom) | | Sessions actives live | 5 minutes |

2. Utilisateurs du service wheremyflow (clients abonnés)

2.1 Données traitées

Lors de la souscription et de l'utilisation du service, nous traitons :

| Donnée | Finalité | Base légale | Durée | | ----------------------------------------------- | ----------------------------------- | ----------------------------------------- | ------------------------------------------------------ | | Email, mot de passe (haché Argon2id) | Authentification | Exécution du contrat | Durée du compte + 12 mois | | Nom, raison sociale, adresse, n° TVA | Facturation, obligations comptables | Obligation légale (art. L.123-22 C. com.) | 10 ans (obligation comptable) | | Données de paiement | Encaissement | Exécution du contrat | Traité par Mollie B.V. (NL) — non stocké chez nous | | Logs techniques (IP hashée, user-agent tronqué) | Sécurité, lutte anti-abus | Intérêt légitime | 30 jours | | Messages de support | Réponse aux demandes | Intérêt légitime | 24 mois |

2.2 Sous-traitants

| Sous-traitant | Rôle | Localisation | | ------------------------- | -------------------------------------------------------- | --------------------------------------------------------------------------- | | Clever Cloud SAS | Hébergement infrastructure | Siège : Nantes, France — datacentres FR (Paris/Roubaix), ISO/IEC 27001:2022 | | Eris Networks (DB-IP) | Base de géolocalisation IP | Perros-Guirec, France | | Brevo SAS | Envoi d'emails transactionnels | Paris, France | | Mollie B.V. | Paiement en ligne | Amsterdam, Pays-Bas | | Mistral AI | Génération d'insights (sur agrégats anonymes uniquement) | Paris, France |

Aucun sous-traitant hors UE. Aucun transfert vers les États-Unis, le Royaume-Uni ou tout pays tiers.

2.3 Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

  • Accès — téléchargez l'intégralité de vos données via l'onglet Conformité, bouton « Télécharger toutes les données (CSV ZIP) ». Voir Export et effacement.
  • Rectification — éditez vos coordonnées dans le portail de facturation.
  • Effacement — supprimez votre site (et toutes ses données) via « Effacer le site ». Pour la suppression complète de votre compte, contactez le DPO.
  • Portabilité — le ZIP de téléchargement fournit vos données sous forme de fichiers CSV (un par vue du dashboard, en-têtes de colonnes en anglais).
  • Opposition / Limitation — contactez le DPO.
  • Réclamation — auprès de l'autorité de protection des données de votre pays (🇫🇷 CNIL · 🇩🇪 DSK · 🇮🇹 Garante · 🇪🇸 AEPD · 🇳🇱 AP — voir Contact DPO pour la liste complète des 27+3 autorités UE/EEE).

Délai de réponse : 1 mois maximum (article 12 RGPD), prorogeable de 2 mois sur demandes complexes.

2.4 Contact DPO

  • Email : dpo@wheremyflow.com
  • Adresse : Wheremyflow — Frédéric GAVEAU - DPO, 6 rue du Château, 12190 Estaing, France.

3. Sécurité

  • Chiffrement TLS 1.2+ en transit (HSTS activé).
  • Chiffrement TLS sur la connexion à la base de données.
  • Mots de passe hachés (Argon2id, paramètres OWASP 2024).
  • Sessions courtes (7 jours) avec cookie httpOnly, secure, sameSite=strict.
  • Politique de mots de passe : minimum 10 caractères.
  • Séparation applicative ingest / dashboard (rôles distincts au niveau code, gardes regex fail-closed, logs d'audit).
  • Rotation mensuelle automatique des sels cryptographiques.

4. Notification de violation

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons l'autorité de protection des données compétente (CNIL pour la France, BfDI/DSK pour l'Allemagne, Garante pour l'Italie, AEPD pour l'Espagne, AP pour les Pays-Bas, et toute autre autorité chef de file applicable) sous 72 heures et, le cas échéant, vous informerons sans délai (RGPD articles 33-34).

5. Modifications

Toute modification matérielle de cette politique vous sera notifiée par email au moins 30 jours avant entrée en vigueur.