La présente Politique de confidentialité décrit les modalités de collecte, traitement et protection de vos données à caractère personnel lorsque vous utilisez le site ragweb.fr et le service RagWeb, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés).
1. Responsable du traitement
Yannick TOCQUET — Entrepreneur individuel (micro-entrepreneur) 200 rue de la Croix Nivert, 75015 Paris, France Email : contact@ragweb.fr Site web : https://ragweb.fr
Le Prestataire n’a pas désigné de Délégué à la Protection des Données (DPO), cette désignation n’étant pas obligatoire au regard de l’article 37 du RGPD. Toute demande relative aux données personnelles peut être adressée à l’adresse email ci-dessus.
2. Données collectées et finalités
2.1 Compte utilisateur et authentification
| Donnée | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Adresse email | Création et gestion du compte, authentification (OTP), communications liées au service | Exécution du contrat (art. 6.1.b RGPD) | Durée de la relation contractuelle + 3 ans |
| Identifiant Cognito (sub) | Identification technique interne | Exécution du contrat | Durée de la relation contractuelle + 3 ans |
| Mot de passe (optionnel) | Authentification alternative | Exécution du contrat | Durée de la relation contractuelle (stocké hashé par Cognito) |
2.2 Paiement et facturation (Stripe)
| Donnée | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Nom, email | Création du client Stripe, facturation | Exécution du contrat | Durée légale de conservation des factures (10 ans, art. L123-22 Code de commerce) |
| Numéro de TVA | Facturation conforme, détermination du régime de TVA (autoliquidation intra-UE) | Obligation légale | 10 ans |
| Données de paiement (CB) | Traitement des paiements | Exécution du contrat | Gérées exclusivement par Stripe (PCI-DSS), non stockées par le Prestataire |
2.3 Données du Client soumises au Service (sous-traitance)
Pour les données personnelles que le Client soumet au Service (données personnelles éventuellement contenues dans les contenus web indexés et les documents téléversés), le Prestataire agit en qualité de sous-traitant au sens de l’article 28 du RGPD. Les conditions de cette sous-traitance sont définies dans l’Accord de Traitement des Données (DPA).
| Service | Types de données | Durée de conservation |
|---|---|---|
| RagWeb | Contenus web indexés, documents téléversés (PDF/DOCX) et transcriptions de vidéos YouTube indexées (plans payants), pouvant contenir des données personnelles publiées | Durée de l’abonnement + 30 jours |
2.4 Interactions avec le widget
Le widget de recherche RagWeb intégré au site du Client ne dépose aucun cookie et n’utilise aucun mécanisme de stockage local (localStorage, sessionStorage) sur le terminal des visiteurs. Les requêtes de recherche saisies par les visiteurs sont traitées pour générer une réponse et peuvent être conservées de façon agrégée à des fins de mesure d’usage, sans identification nominative des visiteurs.
2.5 Suivi des erreurs techniques (Bugsink)
Afin de maintenir la qualité du service, les erreurs techniques survenant sur le site sont collectées (traces d’exécution, adresse IP, identifiants techniques, horodatages).
| Donnée | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Erreurs techniques (stack traces, IP) | Diagnostic et correction des anomalies | Intérêt légitime (art. 6.1.f RGPD) | 60 jours |
2.6 Statistiques de visite (Umami)
Umami est une solution d’analyse d’audience respectueuse de la vie privée :
- Aucune donnée personnelle n’est collectée ;
- Aucun cookie n’est déposé ;
- Les données sont anonymisées et agrégées ;
- Hébergement : Hetzner, Allemagne (UE).
Base légale : intérêt légitime (données anonymes, pas de traitement de données personnelles).
2.7 Caractère obligatoire ou facultatif des données
| Contexte | Données obligatoires | Données facultatives | Conséquence du refus |
|---|---|---|---|
| Création de compte | Mot de passe (OTP par défaut) | Impossibilité de créer un compte et d’accéder au Service | |
| Paiement (Stripe) | Email, moyen de paiement, numéro de TVA | — | Impossibilité de souscrire un abonnement payant |
Les données marquées « obligatoires » sont nécessaires à l’exécution du service demandé. Leur non-fourniture entraîne l’impossibilité de bénéficier du service correspondant.
3. Destinataires des données
3.1 Sous-traitants
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Amazon Web Services EMEA SARL | Infrastructure, stockage, calcul, IA (Bedrock), authentification (Cognito), email (SES) | Luxembourg / Dublin, Irlande (UE) |
| Stripe Payments Europe, Ltd. | Paiements, facturation, gestion des abonnements | Dublin, Irlande (UE) |
| Google Ireland Ltd. (YouTube Data API) | Métadonnées de vidéos et chaînes YouTube publiques (indexation vidéo, plans payants) | Irlande (UE) |
| Webshare (proxy résidentiel) | Relais réseau pour récupérer les sous-titres publics YouTube (indexation vidéo) ; ne reçoit aucune donnée personnelle du Client | États-Unis |
| Bugsink B.V. | Suivi des erreurs techniques du site | Pays-Bas / Allemagne (UE) |
3.2 Autres destinataires
Aucune donnée personnelle n’est vendue, louée ou transmise à des tiers à des fins commerciales.
Des données peuvent être communiquées aux autorités compétentes sur demande et dans les conditions prévues par la loi.
4. Transferts de données hors UE/EEE
Les données personnelles sont principalement traitées au sein de l’Union européenne (AWS Dublin, Stripe Irlande, Bugsink aux Pays-Bas/Allemagne).
Certains sous-traitants (Webshare) sont établis aux États-Unis. Ces transferts sont encadrés par :
- les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (décision d’exécution 2021/914) ; et/ou
- le EU-US Data Privacy Framework lorsqu’applicable.
5. Cookies
Le site ragweb.fr et le widget de recherche RagWeb ne déposent aucun cookie sur le terminal des visiteurs et n’utilisent aucun mécanisme de stockage local (localStorage, sessionStorage). En conséquence, aucun bandeau de consentement aux cookies n’est nécessaire conformément aux lignes directrices de la CNIL.
L’authentification à l’espace client repose sur des jetons techniques strictement nécessaires au fonctionnement du service, exemptés de consentement.
6. Intelligence artificielle
Conformément à l’article 50 du Règlement (UE) 2024/1689 (AI Act) et au principe de transparence du RGPD, vous êtes informé(e) que le Service fait appel à des systèmes d’intelligence artificielle :
| Traitement IA | Données concernées | Prise de décision automatisée |
|---|---|---|
| Génération de réponses | Contenus web indexés par le Client | Non — aide à la recherche, pas de décision contraignante |
| Reformulation de requêtes | Requêtes de recherche saisies par les visiteurs | Non — optimisation interne de la recherche, pas de décision contraignante |
Le widget informe les utilisateurs finaux qu’ils interagissent avec un système d’intelligence artificielle. Les réponses sont générées automatiquement et peuvent contenir des inexactitudes.
7. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
| Droit | Description |
|---|---|
| Accès (art. 15) | Obtenir confirmation que vos données sont traitées et en recevoir une copie |
| Rectification (art. 16) | Faire corriger des données inexactes ou incomplètes |
| Effacement (art. 17) | Demander la suppression de vos données (« droit à l’oubli ») |
| Limitation (art. 18) | Restreindre temporairement le traitement de vos données |
| Portabilité (art. 20) | Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine |
| Opposition (art. 21) | Vous opposer au traitement fondé sur l’intérêt légitime |
| Retrait du consentement | Retirer votre consentement à tout moment (sans affecter la licéité du traitement antérieur) |
Comment exercer vos droits
Adressez votre demande par email à : contact@ragweb.fr
Afin de traiter votre demande, nous pourrons vous demander de justifier de votre identité. Nous nous engageons à répondre dans un délai d’un mois à compter de la réception de votre demande (prolongeable de deux mois en cas de complexité, conformément à l’article 12.3 du RGPD).
Réclamation auprès de la CNIL
Vous disposez du droit d’introduire une réclamation auprès de l’autorité de contrôle :
Commission Nationale de l’Informatique et des Libertés (CNIL) 3 Place de Fontenoy, TSA 80715 75334 Paris Cedex 07 https://www.cnil.fr
8. Sécurité des données
Le Prestataire met en œuvre les mesures techniques et organisationnelles appropriées conformément à l’article 32 du RGPD :
- Chiffrement en transit (TLS 1.2+) et au repos (SSE-S3, chiffrement natif DynamoDB, KMS) ;
- Authentification sécurisée (OTP email, PKCE, JWT à durée limitée) ;
- Protection applicative (AWS WAF, rate limiting) ;
- Clés API hashées (SHA-256), jamais stockées en clair ;
- Sauvegarde (PITR sur tables DynamoDB critiques) ;
- Journalisation des accès (CloudTrail, structured logging).
Le détail des mesures est disponible dans l’Annexe B du DPA.
9. Violation de données
En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, le Prestataire :
- notifiera la CNIL dans un délai de 72 heures (article 33 RGPD) ;
- informera les personnes concernées dans les meilleurs délais si le risque est élevé (article 34 RGPD) ;
- documentera la violation dans son registre interne.
10. Mineurs
Le Service est exclusivement destiné aux professionnels. Le Prestataire ne collecte pas sciemment de données de personnes de moins de 16 ans. Si vous constatez qu’un mineur a fourni des données personnelles, veuillez nous contacter pour suppression.
11. Liens vers des sites tiers
Le site contient des liens vers des services tiers (Stripe Customer Portal, documentation externe). Le Prestataire n’est pas responsable des pratiques de protection des données de ces sites. Nous vous invitons à consulter leurs politiques de confidentialité respectives.
12. Modifications
La présente Politique de confidentialité peut être mise à jour à tout moment pour refléter les évolutions du service ou de la réglementation. La date de dernière mise à jour est indiquée en haut de cette page.
En cas de modification substantielle, les utilisateurs inscrits seront informés par email au moins trente (30) jours avant l’entrée en vigueur des changements.
13. Contact
Pour toute question relative à la protection de vos données personnelles : Email : contact@ragweb.fr