Politique de confidentialité

ContentMas LLC est le responsable du traitement (en Inde, le « data fiduciary ») des données personnelles décrites ici : votre compte, les audits que vous lancez et les messages que vous nous envoyez. Pour toute question de confidentialité, contactez-nous via notre formulaire de contact avec l'objet « Confidentialité » (Privacy).

• Responsable des réclamations (Grievance Officer, Inde) et contact confidentialité : [Nom, fonction et moyen de contact de la personne qui traite les demandes relatives à la confidentialité].
• Représentant dans l'UE / au Royaume-Uni : [Nom et adresse des représentants dans l'UE et au Royaume-Uni, si nécessaire, ou « non désigné »].

Données des sites audités. Lorsque vous auditez un site, notre robot d'exploration lit les pages publiques de ce site. Nous décidons du fonctionnement du robot et de ce qu'il conserve ; nous agissons donc en tant que responsable du traitement indépendant pour ce traitement limité. Nous ne sommes pas un sous-traitant agissant sur vos instructions et nous ne proposons pas d'accord de traitement des données pour le service gratuit. Si vous auditez un site pour un client, il vous appartient d'être autorisé à le faire (voir la Politique d'utilisation acceptable).

• Informations de compte fournies par Google. Lorsque vous choisissez « Continuer avec Google » (Continue with Google), Google nous communique votre nom, votre adresse e-mail vérifiée, le lien vers votre photo de profil et l'identifiant de votre compte Google. Nous demandons uniquement les scopes openid, email et profile ; nous ne voyons jamais votre mot de passe, Gmail, Drive ni quoi que ce soit d'autre dans votre compte Google. Nous enregistrons également la date de création du compte et celle de la dernière connexion.
• Audits que vous lancez. L'adresse web que vous soumettez, un type de site et une région d'audience facultatifs, ainsi que les résultats de l'exploration des pages publiques de ce site : titres, descriptions, intitulés, texte extrait, liens, signaux techniques, scores et constats. Les pages publiques peuvent contenir des données personnelles (par exemple le nom d'un auteur ou une adresse e-mail publiée) ; nous ne les conservons que dans le cadre du rapport. Lorsqu'une analyse détecte ce qui ressemble à un identifiant secret dans le code public d'un site, le rapport n'en conserve qu'une forme masquée. Les vérifications que vous marquez comme réussies sont enregistrées avec l'audit.
• Clés API. Si vous créez des clés API personnelles dans les Paramètres, nous enregistrons pour chaque clé son nom, ses 12 premiers caractères, une empreinte à sens unique (hash) de la clé et les dates de création, de dernière utilisation et de révocation. Jamais la clé elle-même. Vous pouvez révoquer une clé à tout moment.
• Demandes de téléchargement de rapport. Pour télécharger un rapport d'une page, nous vous demandons votre nom et votre adresse e-mail, enregistrés avec l'audit concerné.
• Messages de contact et demandes de démonstration. Votre nom, votre e-mail, l'objet, le message et les champs facultatifs (comme l'entreprise ou la fonction), ainsi qu'une empreinte à sens unique (hash) de votre adresse IP afin de lutter contre les abus.
• Données de sécurité. Des compteurs de requêtes de courte durée associés à votre adresse IP (les adresses IPv6 étant réduites à leur préfixe réseau) afin de limiter le débit en cas d'abus. Les journaux de l'hébergeur peuvent enregistrer des détails des requêtes pendant une courte période.
• Stockage du navigateur. Un petit nombre de cookies et d'entrées de stockage local, énumérés dans la Politique relative aux cookies.

Nous ne prenons à votre sujet aucune décision produisant des effets juridiques ou des effets similaires significatifs par des moyens automatisés. Les scores d'audit décrivent des sites web, pas des personnes.

Nous faisons appel aux prestataires suivants. Chacun ne reçoit que ce dont il a besoin. La liste complète, avec les lieux de traitement, figure sur la page Confiance et conformité.

• Vercel : hébergement et fonctions serverless.
• Neon : base de données Postgres gérée ([Région de la base de données]).
• Google : connexion ; reCAPTCHA sur nos formulaires de contact lorsqu'il est activé ; polices web dans la vue imprimable du rapport.
• GitHub (uniquement si vous le connectez dans les Paramètres) : une GitHub App en lecture seule que vous installez sur les dépôts de votre choix. Pour un audit de code, nous lisons les fichiers du dépôt en mémoire puis les supprimons ; nous enregistrons le nom de votre compte GitHub, l'identifiant d'installation et les constats (chemins de fichiers, numéros de ligne et courts extraits, secrets masqués), jamais votre code. Les noms et versions de paquets issus des fichiers de verrouillage (lockfiles) sont vérifiés auprès d'OSV.dev (exploité par Google). Vous pouvez vous déconnecter dans les Paramètres, ou désinstaller l'App sur GitHub, à tout moment.
• Web3Forms : transfère les messages du formulaire de contact vers notre boîte de réception. Votre navigateur envoie le message à Web3Forms après que nous l'avons enregistré.
• OpenAI (uniquement lorsque les fonctionnalités d'IA sont activées) : pour l'analyse de qualité par IA, nous envoyons l'URL de la page auditée et les signaux de qualité que nous en avons extraits ; pour les suggestions de réécriture, nous envoyons le texte de la page que vous demandez à réécrire. Nous n'envoyons ni votre nom, ni votre e-mail, ni les informations de votre compte.

Pendant une analyse, nous recherchons également le domaine audité dans des sources publiques (Internet Archive, Common Crawl et Wikidata). Ces recherches transmettent l'adresse du site web, pas vos données personnelles.

Nos prestataires traitent des données aux États-Unis et dans d'autres pays. Lorsque des données personnelles provenant de l'EEE, du Royaume-Uni ou d'un autre pays doté de règles en matière de transfert quittent cette région, nous nous appuyons sur les conditions de traitement des données du prestataire intégrant les Standard Contractual Clauses (clauses contractuelles types) de l'UE et l'UK Addendum, ou sur l'EU–US Data Privacy Framework lorsque le prestataire est certifié. [Confirmer le mécanisme de transfert en place avec chaque prestataire.]

• Informations de compte et rapports enregistrés : tant que votre compte existe.
• Sessions de connexion : expirent après 30 jours, ou lorsque vous vous déconnectez.
• Audits lancés sans être connecté : conservés pour que le lien de partage continue de fonctionner.
• Demandes de téléchargement de rapport et messages de contact : aussi longtemps que nécessaire pour traiter la demande.
• Compteurs de limitation de débit : supprimés environ une heure après la fin de leur fenêtre.

Vous pouvez supprimer vous-même votre compte à tout moment dans Tableau de bord → Paramètres (Dashboard → Settings) ; cela supprime immédiatement vos rapports enregistrés, vos sessions et les demandes de téléchargement de rapport effectuées avec votre e-mail. Les messages de contact sont conservés jusqu'à la fin de leur traitement. Nous ne supprimons pas encore automatiquement les audits non rattachés à un compte, les demandes de rapport ni les messages de contact. D'ici là, nous les supprimons à votre demande. [Durées de conservation à définir, par ex. messages de contact 24 mois, audits non rattachés 12 mois.]

Selon votre lieu de résidence, vous pouvez nous demander :

• de vous indiquer les données que nous détenons et de vous en fournir une copie (accès et portabilité) ;
• de les rectifier ou de les supprimer, y compris votre compte et ses rapports ;
• de limiter un traitement fondé sur des intérêts légitimes ou de vous y opposer ;
• de retirer votre consentement lorsque nous nous fondons sur celui-ci, sans que cela affecte les traitements antérieurs.

Si vous avez un compte, vous pouvez faire une grande partie de ces démarches vous-même dans Tableau de bord → Paramètres : consulter les informations de votre compte, modifier votre nom d'affichage, exporter vos données dans un fichier JSON, et supprimer votre compte et ses rapports. Vous pouvez toujours nous contacter pour toute autre demande.

Envoyez vos demandes via notre formulaire de contact. Nous pouvons vous demander de confirmer que le compte vous appartient (par exemple en répondant depuis son adresse e-mail). Nous répondons dans un délai d'un mois (GDPR / UK GDPR) et, en tout état de cause, dans le délai exigé par votre droit local. Vous pouvez aussi retirer ContentMas de votre compte Google sur myaccount.google.com/permissions. Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de votre autorité de protection des données, par exemple l'ICO au Royaume-Uni ou votre autorité de contrôle locale dans l'UE.

Dans la mesure où le California Consumer Privacy Act (tel que modifié par le CPRA) s'applique, voici notre avis lors de la collecte :

• Catégories collectées : identifiants (nom, e-mail, identifiant de compte Google, adresse IP) ; activité internet (les sites que vous auditez et la façon dont vous utilisez ContentMas) ; le contenu des messages que vous nous envoyez. Nous ne collectons pas d'informations personnelles sensibles.
• Finalités : telles que décrites dans « Pourquoi nous les utilisons » ci-dessus.
• Vente ou partage : nous ne vendons ni ne partageons d'informations personnelles (y compris à des fins de publicité comportementale inter-contextes), et ne l'avons pas fait au cours des 12 derniers mois.
• Conservation : telle que décrite dans « Combien de temps nous les conservons » ci-dessus.

Vous avez le droit de connaître, de supprimer et de rectifier vos informations personnelles, et de ne pas faire l'objet de discrimination pour avoir exercé ces droits. Utilisez notre formulaire de contact ; un mandataire autorisé peut soumettre une demande en votre nom.

• Inde (DPDP Act 2023) : vous pouvez accéder à vos données, les rectifier, les compléter et les effacer, désigner une autre personne pour exercer vos droits, et adresser une réclamation à notre Responsable des réclamations (Grievance Officer) désigné ci-dessus. Nous répondons aux réclamations dans le délai fixé par les DPDP Rules 2025. Si vous n'êtes pas satisfait, vous pouvez saisir le Data Protection Board of India.
• Émirats arabes unis (Federal Decree-Law 45 of 2021, PDPL) : vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation de leur traitement et leur transfert, et vous opposer au traitement ; vous pouvez introduire une réclamation auprès du UAE Data Office.
• Pakistan : nous protégeons les données conformément au Prevention of Electronic Crimes Act 2016 et au droit à la vie privée prévu à l'article 14 de la Constitution. Le Personal Data Protection Bill du Pakistan n'a pas encore été adopté ; nous mettrons à jour la présente politique s'il l'est.

Les données circulent en HTTPS, les cookies de session et les clés API sont aléatoires et seule leur empreinte (hash) est stockée, et la connexion à la base de données est chiffrée. Notre robot d'exploration ne peut pas accéder aux réseaux privés. Les détails figurent sur la page Confiance et conformité. Aucun système n'est parfaitement sûr ; si nous avons connaissance d'une violation vous concernant, nous vous en informerons, ainsi que les autorités, lorsque la loi l'exige.

L'utilisation par ContentMas des informations reçues des API Google respecte la Google API Services User Data Policy, y compris les exigences Limited Use (utilisation limitée). Nous utilisons les données du compte Google uniquement pour vous connecter et vous afficher votre compte.

ContentMas est un outil professionnel et n'est pas destiné aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données concernant des enfants ; si vous pensez que nous l'avons fait, contactez-nous et nous les supprimerons.

Nous mettrons à jour la version et la date indiquées ci-dessus lorsque la présente politique sera modifiée, et informerons les utilisateurs connectés des modifications importantes avant leur entrée en vigueur.