Politique de confidentialité

La présente politique décrit la manière dont Carredas Communication SAS, exploitante de la marque Websir, collecte, utilise et protège les données personnelles des utilisateurs du service websir.fr (vitrine et application SaaS), conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée (Informatique et Libertés).

Responsable du traitement

Le responsable du traitement est Carredas Communication SAS, dont le siège social est situé 7 Rue de la Distillerie, ZA de la Plaine, 59493 Villeneuve-d'Ascq, France.

Délégué à la protection des données (DPO) : [email protected] — Carredas Communication SAS, à l'attention du DPO, 7 Rue de la Distillerie, ZA de la Plaine, 59493 Villeneuve-d'Ascq, France.

Données collectées

Dans le cadre de l'utilisation du service, les catégories de données suivantes sont collectées :

• Données d'identification : nom, prénom, adresse email, mot de passe (haché via bcrypt), secret de double authentification le cas échéant.
• Données de compte tiers : en cas de connexion via Google, Facebook ou Apple, identifiant unique fournisseur, nom et adresse email transmis par ces fournisseurs.
• Données de facturation : raison sociale, adresse de facturation, numéro de TVA intracommunautaire le cas échéant ; les coordonnées bancaires sont stockées exclusivement chez Stripe et ne transitent jamais sur les serveurs de Carredas Communication SAS.
• Données de projet : briefs envoyés à l'IA, conversations avec l'assistant, sites générés (HTML, CSS, JavaScript, images), variables de personnalisation (téléphone, adresse, SIRET, etc.) saisies dans l'espace « Mes données ».
• Données d'utilisation : horodatage des connexions, adresse IP, parcours dans l'application, événements de génération et de déploiement.
• Données techniques : type de navigateur, système d'exploitation, résolution d'écran, langue.
• Journaux IA : appels effectués aux modèles de langage, nombre de jetons consommés, latences, coûts (table ai_logs) ; les payloads transmis aux modèles peuvent être conservés à des fins d'audit, de débogage et de qualité du service.
• Soumissions de formulaires : messages envoyés via les formulaires de contact des sites publiés (nom, email, téléphone, message, fichiers joints) ; ces données sont traitées pour le compte du Client en sa qualité de responsable de traitement.

Finalités du traitement

Les données sont utilisées pour :

• la fourniture du service de génération, d'hébergement et de maintenance des sites ;
• la gestion des comptes, des abonnements et de la facturation ;
• le support technique et la communication relative au service ;
• la sécurité de la plateforme : détection des tentatives de fraude, lutte contre le spam, protection contre les abus, gestion des verrouillages de compte et d'IP ;
• l'amélioration du service : suivi des erreurs, mesure de la performance, suivi de la qualité des générations IA ;
• l'envoi de notifications relatives au service (mises à jour, maintenance, incidents) ;
• l'envoi de communications commerciales, sous réserve du consentement préalable de l'utilisateur ;
• le respect des obligations comptables, fiscales et légales.

Base légale

• Exécution du contrat (art. 6.1.b RGPD) : fourniture du service, gestion du compte et des abonnements, traitement des paiements.
• Intérêt légitime (art. 6.1.f RGPD) : sécurité, prévention des fraudes, amélioration du service, audit des appels IA.
• Consentement (art. 6.1.a RGPD) : communications commerciales, cookies non strictement nécessaires.
• Obligation légale (art. 6.1.c RGPD) : conservation des factures et pièces comptables, réponse aux réquisitions judiciaires.

Durée de conservation

• Compte et données de profil : pendant toute la durée de l'abonnement ou de l'utilisation gratuite, puis 3 ans à compter de la dernière interaction pour les besoins de la preuve.
• Données de facturation : 10 ans, conformément à l'article L. 123-22 du Code de commerce.
• Journaux techniques et logs de connexion : 12 mois, conformément aux recommandations de la CNIL et aux obligations de l'article L. 34-1 du Code des postes et des communications électroniques.
• Journaux d'appels IA (ai_logs) : 12 mois (les payloads contenant un volume significatif de données utilisateur sont purgés à 90 jours).
• Tentatives de connexion et verrouillages : 6 mois.
• Soumissions de formulaires de contact : selon la politique du Client titulaire du site, et au plus 3 ans après la dernière interaction.
• Sauvegardes : 30 jours après la suppression d'un projet ou la résiliation d'un abonnement, puis purge.

Droits des utilisateurs

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en obtenir une copie.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données, dans les conditions prévues à l'article 17 du RGPD (voir Suppression des données).
• Droit à la limitation du traitement : dans les cas prévus par l'article 18 du RGPD.
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime ou à toute prospection commerciale.
• Droit de retirer votre consentement à tout moment, sans remettre en cause la licéité des traitements effectués avant ce retrait.
• Droit de définir des directives relatives au sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés).

Pour exercer ces droits, contactez [email protected]. Une réponse vous sera apportée dans un délai d'un mois, prorogeable de deux mois en cas de demande complexe. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL — www.cnil.fr.

Données traitées par les modèles d'intelligence artificielle

La génération des sites repose sur des modèles de langage hébergés par des prestataires tiers (voir « Sous-traitants »). Les briefs et conversations envoyés à l'IA sont transmis à ces fournisseurs pour traitement.

Carredas Communication SAS met en œuvre les mesures suivantes pour limiter les risques :

• les données structurées sensibles (téléphone, adresse, SIRET, IBAN, hébergeur, identité éditeur, etc.) ne sont jamais transmises au modèle ; elles sont injectées localement au moment du déploiement par un mécanisme de variables typées ;
• les messages utilisateurs sont systématiquement assainis avant transmission à l'IA ;
• toute auto-référence du modèle (« je suis tel modèle… ») est filtrée avant restitution dans l'interface ;
• les fournisseurs sélectionnés s'engagent contractuellement à ne pas réutiliser les données transmises pour entraîner leurs modèles.

L'utilisateur est invité à ne pas saisir de données particulièrement sensibles (données de santé, infractions, opinions politiques ou religieuses, etc.) dans les briefs adressés à l'IA.

Sous-traitants

Carredas Communication SAS fait appel aux sous-traitants suivants, encadrés par des contrats conformes à l'article 28 du RGPD :

La liste à jour des sous-traitants peut être obtenue sur simple demande à [email protected].

Connexion via fournisseurs tiers

Websir propose la connexion via Google, Facebook (Meta) et Apple. Lors de l'utilisation de cette fonctionnalité :

• seules les informations strictement nécessaires sont collectées : identifiant unique fournisseur, nom et adresse email ;
• aucune autre information du profil tiers (liste d'amis, contacts, publications) n'est demandée ni stockée ;
• l'utilisateur peut révoquer à tout moment l'accès de Websir depuis les paramètres de sécurité du fournisseur ; cette révocation ne supprime pas le compte Websir, qui doit faire l'objet d'une suppression dédiée (voir Suppression des données).

Transferts hors Union européenne

Certains sous-traitants (Cloudflare, Stripe, Cerebras, Z.AI, OpenRouter, Replicate, Apple) sont susceptibles de traiter des données en dehors de l'Union européenne. Ces transferts sont encadrés par :

• les Clauses Contractuelles Types de la Commission européenne (décision 2021/914) ;
• le cas échéant, le Data Privacy Framework (DPF) pour les transferts vers les États-Unis, lorsque le sous-traitant y est certifié ;
• une analyse d'impact sur les transferts (TIA) lorsque la situation le justifie.

Cookies et traceurs

Le site websir.fr utilise un nombre limité de cookies, classés en deux catégories :

• Cookies strictement nécessaires (exemptés de consentement, art. 82 loi Informatique et Libertés) :
  • websir_session — identifiant de session, durée 120 minutes après la dernière activité ;
  • XSRF-TOKEN — protection contre les attaques CSRF, durée 120 minutes ;
  • theme — mémorisation du choix de thème clair/sombre, durée 12 mois.
• Mesure d'audience anonyme via Cloudflare Web Analytics, qui n'utilise aucun cookie et ne collecte aucune donnée permettant d'identifier les visiteurs (pas d'empreinte navigateur, pas d'adresse IP exposée). À ce titre, ce service est exempté de l'obligation de recueil du consentement conformément aux recommandations de la CNIL.

Aucun cookie publicitaire, aucun pixel de réseau social et aucun outil de tracking comportemental ne sont déposés sur le site websir.fr. Si une telle catégorie venait à être introduite, un bandeau de consentement conforme à la délibération CNIL n° 2020-091 serait mis en place préalablement.

L'utilisateur peut configurer son navigateur pour refuser certains cookies ; la désactivation des cookies strictement nécessaires empêche toutefois l'authentification et l'utilisation du service.

Sécurité

Carredas Communication SAS met en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données : chiffrement des connexions (TLS 1.2+), hachage des mots de passe (bcrypt), double authentification facultative (TOTP), verrouillage automatique des comptes en cas de tentatives répétées, journalisation des accès, sauvegardes régulières chiffrées, contrôle d'accès strict côté infrastructure.

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Carredas Communication SAS notifiera la CNIL dans un délai de 72 heures, et informera les personnes concernées dans les conditions de l'article 34 du RGPD.

Contact

Pour toute question relative à la présente politique ou à l'exercice de vos droits :

• Email : [email protected]
• Courrier : Carredas Communication SAS — DPO, 7 Rue de la Distillerie, ZA de la Plaine, 59493 Villeneuve-d'Ascq, France