Politique de confidentialité

1. Qui est responsable de vos données ?

Le responsable du traitement est la société MAMMATCHA, SARL immatriculée sous le numéro SIREN 938 630 449, qui exploite le site sous le nom commercial 99M. Son siège est situé 2 chemin des Fades, 33133 Galgon, France.

Pour toute question sur vos données : [email protected] ou 06 84 25 53 80.

MAMMATCHA n'a pas désigné de délégué à la protection des données (DPO). Cette désignation n'est pas obligatoire pour notre activité.

2. En résumé

• Nous collectons des données personnelles seulement quand vous nous contactez : formulaire, e-mail, téléphone ou prise de rendez-vous.
• Notre mesure d'audience est anonyme et n'utilise aucun cookie.
• Le formulaire de contact est protégé contre les robots par Cloudflare Turnstile.
• Nous n'utilisons ni publicité ciblée, ni pixel de réseau social, ni chatbot.
• Nous ne vendons ni ne louons vos données.

3. Données collectées, finalités et bases légales

Formulaire de contact (page /contact)

• Données collectées :
  • prénom et nom ;
  • entreprise ;
  • e-mail professionnel ;
  • téléphone ;
  • type de projet (choisi dans une liste) ;
  • taille de l'entreprise (choisie dans une liste) ;
  • description de votre projet, si vous la remplissez ;
  • source de votre visite, jointe automatiquement à la demande : première page vue sur le site, site d'où vous venez (adresse sans paramètres), paramètres de campagne présents dans le lien d'arrivée (utm_source, utm_medium, utm_campaign, utm_term, utm_content, gclid) et page d'envoi du formulaire.

  La source de votre visite est gardée dans la mémoire de la page pendant votre navigation, sans cookie ni stockage dans votre navigateur. Elle n'est transmise qu'avec le formulaire, jamais à nos outils de mesure d'audience.

• Finalités : vous recontacter au sujet de votre projet et préparer un éventuel devis ; savoir par quel canal les demandes nous parviennent.
• Bases légales : mesures précontractuelles prises à votre demande (article 6.1.b du RGPD) ; pour la source de la visite, notre intérêt légitime à connaître les canaux qui nous amènent des demandes (article 6.1.f du RGPD).
• Caractère obligatoire : tous les champs sont obligatoires, sauf la description du projet. Sans eux, nous ne pouvons pas traiter votre demande. Vous pouvez aussi nous appeler ou nous écrire directement, par exemple si vous ne souhaitez pas transmettre la source de votre visite.
• Fonctionnement :
  • vos réponses sont envoyées à notre serveur, hébergé par Vercel ;
  • le serveur les transmet par e-mail à 99M via le service d'envoi Resend ;
  • il les enregistre aussi dans notre outil de suivi des demandes, Notion, où nous notons l'avancement de chaque échange.

Protection du formulaire contre les robots (Cloudflare Turnstile)

• Fonctionnement :
  • quand vous commencez à remplir le formulaire de contact, le service Cloudflare Turnstile vérifie en arrière-plan que la demande vient d'un visiteur humain ;
  • une case à cocher n'apparaît que si cette vérification automatique ne suffit pas ;
  • notre serveur contrôle le résultat auprès de Cloudflare avant d'envoyer votre demande ;
  • il applique aussi des contrôles sans traceur : un champ invisible que seuls les robots remplissent, un délai minimal de saisie et un nombre maximal d'envois par adresse IP sur quelques minutes (adresse gardée dans la mémoire vive du serveur, jamais enregistrée).
• Données collectées : données techniques de votre connexion et de votre navigateur, dont l'adresse IP et l'identification du navigateur (User-Agent), et l'adresse du site où la vérification a lieu. Cloudflare indique que Turnstile n'accède pas aux données saisies dans le formulaire et n'utilise pas de cookie pour collecter ou stocker des informations.
• Finalité : empêcher l'envoi automatisé de faux messages et protéger notre messagerie.
• Base légale : notre intérêt légitime à sécuriser le formulaire de contact (article 6.1.f du RGPD).
• Destinataire : Cloudflare, Inc., qui traite ces données pour notre compte afin de sécuriser le formulaire. Cloudflare indique les utiliser aussi, pour son propre compte, afin d'améliorer Turnstile, et jamais pour identifier, profiler ou cibler les visiteurs (avenant de confidentialité de Turnstile).
• Alternative : si vous ne souhaitez pas que ce service soit utilisé, écrivez-nous à [email protected] ou appelez-nous au 06 84 25 53 80, sans passer par le formulaire.

Prise de rendez-vous (Cal.com)

• Fonctionnement : le bouton "Réserver un appel" ouvre notre page de réservation sur app.cal.eu, un service de Cal.com, dans un nouvel onglet. Si vous les avez indiqués sur le site, votre type de projet et la taille de votre entreprise sont transmis dans le lien pour pré-remplir la réservation.
• Données collectées sur Cal.com : au minimum votre nom et votre adresse e-mail, ainsi que les informations que vous choisissez d'ajouter à la réservation. Une copie de la réservation (nom, e-mail, téléphone s'il est demandé, date du rendez-vous et réponses aux questions) est enregistrée dans notre outil de suivi des demandes, Notion.
• Finalité : organiser un premier échange.
• Base légale : mesures précontractuelles prises à votre demande (article 6.1.b du RGPD).
• Hébergement : l'instance européenne de Cal.com stocke et traite les données dans l'Union européenne (cal.com/europe).

Échanges par e-mail et par téléphone

• Données : celles que vous nous communiquez (coordonnées, contenu de vos messages).
• Finalité : répondre à vos demandes et suivre la relation commerciale.
• Base légale : mesures précontractuelles, puis exécution du contrat si vous devenez client (article 6.1.b du RGPD).

Mesure d'audience (Umami, Vercel Web Analytics)

• Données collectées :
  • page visitée et adresse d'origine (référent) ;
  • navigateur, système d'exploitation, type d'appareil ;
  • pays ;
  • quelques actions anonymes, par exemple un clic sur "Réserver un appel" ou l'envoi réussi du formulaire.

  Aucune donnée saisie dans le formulaire n'est transmise.

• Aucun cookie :
  • Umami ne dépose aucun cookie et n'enregistre pas votre adresse IP ;
  • Vercel Web Analytics identifie une visite par une empreinte technique temporaire, supprimée au bout de 24 heures (documentation Vercel).
• Finalité : mesurer la fréquentation du site et comprendre quelles pages sont utiles, pour notre seul compte.
• Base légale : notre intérêt légitime à mesurer l'audience de notre site (article 6.1.f du RGPD). Cette mesure respecte les conditions d'exemption de consentement fixées par la CNIL (voir notre politique de cookies).
• Opposition : Umami ne vous compte pas si l'option "Ne pas me suivre" (Do Not Track) de votre navigateur est activée.

Mesure des performances techniques (Vercel Speed Insights)

• Données collectées :
  • page visitée ;
  • temps de chargement ;
  • type de connexion, navigateur, appareil ;
  • pays.

  Ces données ne sont liées à aucun visiteur ni à aucune adresse IP (documentation Vercel).

• Finalité : détecter les lenteurs et améliorer le site.
• Base légale : notre intérêt légitime à assurer le bon fonctionnement du site (article 6.1.f du RGPD).

Journaux techniques et sécurité du trafic

• Données : adresse IP, date et heure, page demandée, navigateur. Notre hébergeur (Vercel) et notre prestataire de réseau (Cloudflare), par lequel transite le trafic du site, les traitent automatiquement à chaque requête.
• Finalité : acheminer les pages, protéger le site contre les attaques et diagnostiquer les erreurs.
• Base légale : notre intérêt légitime à sécuriser le site et à en assurer le fonctionnement (article 6.1.f du RGPD).

4. Qui reçoit vos données ?

Vos données sont destinées à 99M. Nous faisons appel aux prestataires (sous-traitants) suivants, qui les traitent uniquement pour notre compte :

Nous ne vendons, ne louons ni ne cédons vos données. Nous ne les transmettons à des tiers que si la loi nous y oblige.

5. Transferts hors de l'Union européenne

Certains prestataires sont établis aux États-Unis. Ces transferts sont encadrés :

• Vercel : Vercel adhère au Data Privacy Framework UE-États-Unis, reconnu par la Commission européenne, et son accord de traitement des données inclut les clauses contractuelles types de la Commission européenne (vercel.com/legal/dpa).
• Cloudflare : Cloudflare adhère au Data Privacy Framework UE-États-Unis, et son accord de traitement des données prévoit les clauses contractuelles types (cloudflare.com/cloudflare-customer-dpa).
• Resend : Resend adhère au Data Privacy Framework UE-États-Unis, et son accord de traitement des données inclut les clauses contractuelles types (resend.com/legal/dpa).
• Google (Google Workspace) : les transferts sont encadrés par les engagements de transfert de l'avenant de Google relatif au traitement des données (cloud.google.com/terms/data-processing-addendum) et par sa politique de confidentialité.
• Notion : l'accord de traitement des données de Notion inclut les clauses contractuelles types de la Commission européenne (notion.com/help/gdpr-at-notion).
• Umami : les statistiques d'audience sont hébergées sur des serveurs situés dans l'Union européenne. Umami Software, Inc. étant une société américaine, un accès depuis les États-Unis reste possible pour l'exploitation du service ; il est encadré par les clauses contractuelles types prévues par son accord de traitement des données (umami.is/dpa).

6. Combien de temps gardons-nous vos données ?

7. Vos droits

Vous disposez des droits suivants sur vos données :

• Accès : savoir quelles données nous détenons sur vous et en obtenir une copie.
• Rectification : faire corriger des données inexactes ou incomplètes.
• Effacement : demander la suppression de vos données.
• Limitation : demander le gel temporaire de l'utilisation de vos données.
• Portabilité : recevoir les données que vous nous avez fournies, dans un format structuré et lisible par une machine.
• Opposition : vous opposer à un traitement fondé sur notre intérêt légitime, par exemple la mesure d'audience, la source de votre visite jointe au formulaire ou la protection du formulaire contre les robots.
• Retrait du consentement : retirer à tout moment un consentement donné, sans remettre en cause les traitements déjà effectués.
• Directives après votre décès : définir des directives sur le sort de vos données après votre décès.

Pour exercer ces droits, écrivez-nous à [email protected]. Nous répondons dans un délai d'un mois. Nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL : www.cnil.fr/fr/plaintes.

Nous ne prenons aucune décision automatisée à votre sujet et ne faisons aucun profilage.

8. Sécurité

• Le site est servi uniquement en HTTPS.
• Les demandes du formulaire ne sont pas stockées sur le site : elles sont transmises directement par e-mail.
• Le formulaire est protégé contre les envois automatisés : notre serveur refuse toute demande dont la vérification Cloudflare Turnstile a échoué.
• Nos prestataires sont liés par un accord de traitement des données conforme à l'article 28 du RGPD.

Aucune transmission sur Internet n'est totalement sûre. En cas de violation de données présentant un risque pour vous, nous vous en informerons et nous informerons la CNIL dans les conditions prévues par la loi.

9. Modification de cette politique

Nous pouvons mettre à jour cette politique, par exemple si nous changeons de prestataire. La date de dernière mise à jour figure en haut de cette page.