Politique de confidentialité

Responsable du traitement

Le responsable du traitement est Hamdy Tabsissi, qui exploite ce portfolio à titre personnel et reste joignable à [email protected]. Aucun délégué à la protection des données n'a été désigné : la désignation n'est pas obligatoire pour un traitement de cette nature. Les données sont stockées en France, sur une machine virtuelle de la région eu-paris-1.

Données traitées

1. Lien d'accès nominatif. Ce portfolio se consulte principalement par un lien personnalisé. Lorsqu'un tel lien est créé, il est associé au nom de la personne destinataire, et le cas échéant à son organisation, à sa fonction et à une note interne. Ces informations sont saisies par l'éditeur du site, à partir d'un échange préalable (candidature, prise de contact, mise en relation).

2. Consultation. Chaque visite, qu'elle vienne d'un lien nominatif ou d'un accès anonyme, donne lieu à l'enregistrement des pages consultées, des projets ouverts, de la date et de l'heure, du navigateur utilisé (user-agent), et d'une empreinte de l'adresse IP. Cette empreinte est le résultat d'un hachage cryptographique salé : l'adresse IP elle-même n'est jamais stockée et ne peut pas être reconstituée à partir de l'empreinte. Il s'agit d'une pseudonymisation, non d'une anonymisation : l'empreinte reste une donnée personnelle au sens du RGPD et ouvre donc l'ensemble des droits décrits plus bas. Elle sert uniquement à distinguer deux visites l'une de l'autre.

3. Journaux du serveur web. Les journaux techniques conservent les requêtes reçues avec une adresse IP tronquée (le dernier octet est remplacé par zéro), ce qui empêche d'identifier une machine précise tout en permettant de détecter un abus. Ils sont conservés quatorze jours, puis écrasés par rotation automatique.

4. Cookies. Deux cookies internes sont susceptibles d'être déposés, tous deux strictement nécessaires au fonctionnement du site et à ce titre exemptés de consentement au sens de l'article 82 de la loi Informatique et Libertés. connect.sid maintient la session de consultation et l'authentification de l'espace d'administration : il est marqué HttpOnly, Secure et SameSite=Lax, et expire au bout de douze heures. view n'est posé que si vous choisissez explicitement l'une des deux présentations du site : il mémorise ce choix pendant douze mois, avec les mêmes protections. Aucun des deux ne sert au suivi publicitaire ni au recoupement entre sites. Un troisième cookie, mtm_consent_removed, existe mais n'est déposé que si vous demandez vous-même à être exclu de la mesure d'audience ; il est décrit au paragraphe « Mesure d'audience » ci-dessous. Aucun cookie tiers, aucun traceur externe et aucun bouton de réseau social n'est chargé par ce site.

Mesure d'audience

La fréquentation du site est mesurée par Matomo, un logiciel libre installé sur le serveur qui héberge ce site : les données de navigation ne quittent pas cette machine, et aucune société tierce n'y a accès. Le script de mesure est servi par ce site lui-même, pas par un domaine extérieur.

Cette mesure est configurée pour rester dans les conditions d'exemption de consentement décrites par la CNIL : elle sert exclusivement à produire des statistiques de fréquentation pour mon propre usage, votre adresse IP est tronquée de deux octets avant tout enregistrement, aucun identifiant d'utilisateur n'est associé à votre navigation, aucun suivi n'est effectué d'un site à l'autre, et les données ne sont ni recoupées avec un autre traitement, ni transmises à un tiers. Aucun cookie n'est déposé pour vous mesurer — le seul cookie que ce dispositif puisse poser sert, à l'inverse, à mémoriser votre refus, et n'apparaît que si vous le demandez. Les données de mesure sont conservées vingt-cinq mois au maximum, puis remplacées par des totaux agrégés. D'après notre auto-évaluation, la solution Matomo telle qu'elle est configurée ici est conforme aux critères établis par la CNIL ; cette exemption porte sur le consentement, pas sur le RGPD, dont les obligations restent applicables.

Vous pouvez vous y opposer à tout moment : en activant le signal Do Not Track de votre navigateur, que ce site respecte, ou avec le bouton ci-dessous. Pour être respecté à chaque visite, un refus doit être mémorisé quelque part : Matomo dépose alors sur votre navigateur un cookie de première partie nommé mtm_consent_removed, dont la durée est de trente ans et dont le contenu se limite à la date de votre refus, sans identifiant ni donnée de navigation. C'est le seul cookie que la mesure d'audience puisse poser, et il ne sert qu'à vous en exclure : à ce titre il est strictement nécessaire au respect de votre opposition, et exempté de consentement au sens de l'article 82 de la loi Informatique et Libertés. Le supprimer annule votre refus.

Destinataires et sous-traitants

Aucune donnée n'est vendue, cédée, ni utilisée à des fins publicitaires. Deux prestataires techniques interviennent nécessairement, en qualité de sous-traitants au sens de l'article 28 du RGPD : Oracle Cloud Infrastructure (Oracle Corporation, 2300 Oracle Way, Austin, TX 78741, États-Unis), qui héberge la machine virtuelle et donc la base de données, dans sa région eu-paris-1 située en France ; et Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, États-Unis), qui assure la résolution DNS, le chiffrement TLS et la protection contre les attaques par déni de service, et voit à ce titre transiter chaque requête. Les données au repos restent stockées en France. Ces deux sociétés étant américaines, un accès depuis les États-Unis ne peut être exclu ; il est encadré par les clauses contractuelles types de la Commission européenne figurant dans leurs accords de sous-traitance respectifs. Il n'existe aucun autre destinataire.

Finalité et base légale

Ces données servent à deux finalités distinctes. (1) Suivi des liens nominatifs : savoir si les personnes à qui j'adresse ce portfolio l'ont consulté, et quels projets ont retenu leur attention, afin d'adapter mes échanges avec elles. (2) Mesure d'audience : connaître la fréquentation générale du site et les pages les plus consultées, afin de l'améliorer.

La base légale des deux est l'intérêt légitime de l'éditeur (article 6.1.f du RGPD) à assurer le suivi de ses démarches professionnelles et à maintenir un site utilisable, mis en balance avec une collecte volontairement minimale : pas d'adresse IP en clair, pas de traceur tiers, pas de publicité, pas de recoupement avec d'autres sources. Lorsqu'une fonction ou un intitulé de poste figure dans un lien nominatif, il est rattaché automatiquement à une catégorie professionnelle (par exemple « cybersécurité » ou « recrutement ») qui sert uniquement à modifier l'ordre d'affichage des projets : cette classification ne conditionne aucun accès et ne produit aucune décision automatisée au sens de l'article 22 du RGPD. Vous pouvez vous opposer à tout moment à l'une comme à l'autre de ces finalités.

Durée de conservation

Les données de visite (pages consultées, horodatage, user-agent, empreinte d'IP) sont supprimées au bout de douze mois par une tâche planifiée mensuelle sur le serveur, dont l'exécution est journalisée. Les informations attachées à un lien nominatif (nom, organisation, fonction, note interne) sont conservées tant que le lien reste utile au suivi de l'échange, et sont supprimées sur simple demande. Les journaux du serveur web, dont l'adresse IP est tronquée, sont conservés quatorze jours. Les données de mesure d'audience sont conservées vingt-cinq mois au maximum, sous réserve des sauvegardes de la base, qui peuvent en garder une copie plus longtemps le temps de leur propre rotation.

Sécurité

Les échanges sont chiffrés en TLS de bout en bout. L'adresse IP est hachée avant stockage et n'est jamais écrite en clair par l'application. L'espace d'administration est protégé par mot de passe et limité en nombre de tentatives. Le serveur d'origine n'accepte le trafic web que depuis le réseau Cloudflare.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition sur les données vous concernant. Vous pouvez les exercer en écrivant à [email protected] : la demande sera traitée dans les meilleurs délais, et au plus tard sous un mois. Pour rattacher votre demande à un enregistrement existant, des éléments de contexte peuvent m'être nécessaires ; aucune pièce d'identité ne vous sera demandée si ce rattachement est possible autrement.

Si la réponse apportée ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.