Politique de confidentialité

Dernière mise à jour : 26 septembre 2026

Cette page explique, traitement par traitement, quelles données Shiloh Concept recueille, pourquoi, sur quelle base légale, combien de temps elles sont gardées, qui peut y accéder, et comment exercer vos droits. Principe : ne recueillir que le nécessaire, ne rien vendre, tout dire.

1. Qui est responsable de vos données

Shiloh Concept, Bernard SPITERI, SIRET [SIRET à compléter], [adresse complète]. Pour toute question sur vos données ou pour exercer vos droits : contact@shiloh-concept.fr.

Shiloh Concept n'a pas désigné de délégué à la protection des données : cette adresse vous répond.

2. Ce que nous traitons, pourquoi, et combien de temps

Vos demandes de contact et de devis

• Données : nom, adresse électronique, téléphone (facultatif), nom de votre structure (facultatif), votre message et les précisions que vous choisissez d'ajouter (type de site, budget indicatif, délai souhaité).
• Pourquoi : vous répondre, établir un devis, préparer puis suivre un éventuel contrat.
• Base légale : mesures précontractuelles prises à votre demande, puis exécution du contrat (article 6.1.b RGPD (nouvel onglet)).
• Durée : trois ans à compter du dernier échange, sauf si un contrat est conclu.

La copie de secours de vos messages

• Données : les mêmes que celles du formulaire, horodatées.
• Pourquoi : ne jamais perdre une demande si l'envoi du courriel échoue — y compris les notifications liées à l'inscription à l'espace pro. La copie reste sur le serveur, dans un espace fermé à tout accès depuis Internet.
• Base légale : intérêt légitime (article 6.1.f RGPD (nouvel onglet)).
• Durée : 90 jours, puis effacement.

L'inscription à l'espace pro et les pièces justificatives

• Données : forme juridique, nom de la structure, SIRET (14 chiffres) ou RNA, référence Chorus Pro pour le secteur public, numéro de TVA (facultatif), nom du contact, adresse électronique professionnelle, téléphone (facultatif), votre message, et une pièce justificative correspondant à la forme juridique déclarée (avis de situation SIRENE, extrait Kbis de moins de 3 mois, statuts ou procès-verbal de constitution selon les cas). Formats acceptés : PDF, JPG, PNG ; 5 Mo par fichier, 15 Mo et 8 pièces maximum par dossier.
• Pourquoi : vérifier que la structure demandeuse correspond bien à la forme juridique déclarée, avant de créer un compte professionnel et de le rattacher au groupe qui lui correspond — y compris, le cas échéant, l'édition Libre d'Audit PRO, réservée au secteur public et aux associations à but non lucratif. Le SIRET est vérifié dans l'annuaire des entreprises de l'État (recherche-entreprises.api.gouv.fr) : seul ce numéro, qui identifie l'organisme et non une personne, y est transmis.
• Base légale : intérêt légitime à instruire la demande que vous présentez au nom de votre structure (article 6.1.f RGPD (nouvel onglet)), puis exécution du contrat une fois le compte créé (article 6.1.b).
• Durée : le lien de dépôt envoyé par courriel est valable 7 jours (réglage compris entre 2 et 30 jours) ; sans dépôt dans ce délai, le dossier est purgé 30 jours après l'expiration. En cas de rejet, les pièces sont supprimées 30 jours après la décision, faute de relation contractuelle établie. En cas d'acceptation, les pièces sont conservées 5 ans après la fin de la relation (réglage compris entre 1 et 10 ans), délai de prescription de droit commun (article 2224 du code civil (nouvel onglet)).
• Sécurité : le dépôt ne nécessite aucune session ni cookie — un lien signé (HMAC), valable pour une durée limitée, y donne seul accès. Les fichiers sont stockés hors de portée du web, avec des permissions restreintes, dans un emplacement non prévisible.

Les licences d'Audit PRO

• Données : l'organisme titulaire, l'édition (dont l'édition Libre le cas échéant), les dates d'émission et de fin, et l'identifiant de l'ordinateur autorisé. Cet identifiant est une empreinte calculée par le logiciel : il ne révèle ni le nom de l'ordinateur ni son adresse.
• Pourquoi : émettre la licence, la renouveler, et pouvoir établir à qui elle a été délivrée.
• Base légale : exécution du contrat de licence avec votre organisme et intérêt légitime pour la personne qui le représente (article 6.1.b et 6.1.f RGPD (nouvel onglet)).
• Durée : pendant la durée de la licence, puis cinq ans après sa fin, délai de prescription de droit commun (article 2224 du code civil (nouvel onglet)).
• Le logiciel ne transmet rien : la licence est vérifiée sur votre ordinateur, sans connexion. Seule la veille des bibliothèques, facultative et désactivée par défaut, interroge la base publique de vulnérabilités avec le nom et la version des bibliothèques trouvées.

La facturation et la comptabilité

• Données : identité et coordonnées de facturation du client, montants, pièces comptables.
• Pourquoi : respecter les obligations comptables et fiscales.
• Base légale : obligation légale (article 6.1.c RGPD (nouvel onglet)).
• Durée : dix ans (article L.123-22 du code de commerce (nouvel onglet)).

La mesure d'audience

• Données : la page servie, le domaine d'où vous venez, la famille de votre navigateur, et une empreinte de visite pseudonymisée. Rien n'est déposé dans votre navigateur : ni cookie, ni script, ni pixel.
• Pourquoi : connaître la fréquentation du site, en statistiques agrégées.
• Base légale : intérêt légitime (article 6.1.f RGPD (nouvel onglet)).
• Durée : 6 mois (réglage en vigueur, compris entre 6 et 13 mois).
• Vous pouvez vous y opposer en un clic : voir la politique de cookies.

La newsletter

• Données : l'adresse électronique de votre compte et l'horodatage de votre choix.
• Pourquoi : vous tenir informé, uniquement si vous le demandez.
• Base légale : consentement (article 6.1.a RGPD (nouvel onglet)), recueilli par une case décochée par défaut dans votre compte.
• Durée : suit la durée de conservation de votre compte (voir ci-dessus). Vous pouvez décocher la case à tout moment pour arrêter les envois immédiatement, sans effacer votre compte.

La sécurité du site (empreinte IP)

• Données : empreinte d'adresse IP pseudonymisée (voir §3), horodatage, type d'événement (envoi de formulaire, tentative de connexion, blocage).
• Pourquoi : protéger le site et ses formulaires contre le spam, les intrusions et les abus.
• Base légale : intérêt légitime (article 6.1.f RGPD (nouvel onglet)).
• Durée : douze mois (recommandation CNIL 6 mois à 1 an pour les journaux de sécurité CNIL journalisation (nouvel onglet)).

Le journal des tentatives de connexion échouées (IP en clair)

• Données : adresse IP en clair, réseau d'appartenance, horodatage, type de tentative (administration ou espace client), identifiant tenté, résultat de la tentative.
• Pourquoi : sécuriser le site contre les tentatives de connexion répétées et les intrusions. L'adresse IP en clair est nécessaire pour identifier une source qui échoue de façon répétée et pouvoir la bloquer temporairement, puis la débloquer automatiquement afin de ne pas pénaliser un utilisateur légitime qui obtiendrait plus tard la même adresse IP dynamique.
• Base légale : intérêt légitime à assurer la sécurité du site (article 6.1.f RGPD (nouvel onglet)) et obligation de sécurité (article 32 RGPD (nouvel onglet)). Mesure prévue par la recommandation CNIL 2021-122 du 14 octobre 2021 sur la journalisation (nouvel onglet).
• Durée : 6 mois pour le journal des échecs (recommandation CNIL : 6 mois principe, jusqu'à 1 an si analyse de risque CNIL (nouvel onglet)). Les adresses IP bloquées temporairement sont automatiquement débloquées après une durée limitée (quelques jours à quelques semaines selon le type de tentative, par exemple 7 jours pour une tentative d'intrusion avec identifiant inconnu, 30 jours pour un compte connu) afin de ne pas bloquer durablement un particulier qui récupérerait une IP dynamique, avec un maximum d'un an que nous nous imposons par proportionnalité, au titre du principe de minimisation (article 5 RGPD (nouvel onglet)). Le bannissement permanent est exclu à ce même titre.
• Accès et export : journal conservé dans un espace sécurisé, hors portée publique, accès restreint. Vous pouvez demander le déblocage de votre adresse en nous écrivant. Ces journaux peuvent être conservés et présentés en cas de contrôle de la CNIL ou de réquisition judiciaire, dans le respect des durées légales. Export possible depuis l'administration avec traçabilité.

Le journal de l'administration du site

Ce journal concerne uniquement les personnes qui disposent d'un compte sur le site (administration ou aperçu du site pendant une maintenance) : qui s'est connecté, qui a fait quoi et quand, avec une empreinte d'adresse IP pseudonymisée, jamais le contenu d'un message ni un mot de passe. Il sert à la sécurité et à rendre compte des traitements (article 5.2 RGPD (nouvel onglet)), sur la base de l'intérêt légitime. Il est conservé douze mois.

2 bis. Les durées de conservation en résumé

3. Votre adresse IP : pseudonymisée par défaut, en clair seulement pour les échecs

Pour la mesure d'audience et la sécurité courante, le site ne garde de votre adresse IP qu'une empreinte pseudonymisée : l'adresse passe par une fonction de hachage (SHA-256) associée à une clé secrète renouvelée chaque jour. L'adresse elle-même n'est pas enregistrée, et d'un jour à l'autre les empreintes d'une même adresse diffèrent. Au sens du RGPD, ces empreintes restent des données pseudonymisées, et non anonymes.

Exception sécurité : en cas de tentatives de connexion échouées répétées, l'adresse IP est conservée en clair dans un journal dédié afin de pouvoir bloquer temporairement une source malveillante et la débloquer automatiquement après une durée limitée, pour ne pas pénaliser un utilisateur innocent qui obtiendrait plus tard la même adresse IP dynamique. La durée du blocage est proportionnée (quelques jours à quelques semaines, par exemple 7 jours pour une tentative avec identifiant inconnu, 30 jours pour un compte connu), avec un maximum d'un an que nous nous imposons par proportionnalité (article 5 RGPD (nouvel onglet)). Le bannissement permanent est exclu. Ces journaux peuvent être présentés en cas de contrôle CNIL ou réquisition judiciaire.

Le serveur web ne tient aucun journal d'accès : aucune autre trace de votre visite n'est conservée.

4. Destinataires des données

Vos données ne sont ni vendues, ni louées, ni cédées. Sont destinataires, par catégorie, au sens de l'article 13.1.e RGPD (nouvel onglet) :

• Shiloh Concept : à ce jour, aucune autre personne n'a accès aux messages ni aux données de l'administration du site ;
• Infomaniak Network SA (Genève, Suisse) : prestataire de messagerie et de nom de domaine, sous-traitant article 28 RGPD (nouvel onglet), DPA signé, contrat encadrant le transfert hors UE vers la Suisse avec décision d'adéquation. Politique de confidentialité d'Infomaniak (nouvel onglet) ;
• Expert-comptable le cas échéant, et administration fiscale : pour la facturation et comptabilité ;
• Autorités habilitées : sur demande légale (réquisition judiciaire, contrôle CNIL) ;
• Aucun hébergeur tiers : le site est hébergé sur un serveur privé, assuré par le responsable du traitement lui-même, en France, aucun prestataire d'hébergement n'accède aux données. La mesure d'audience est faite par ce même serveur.

Le numéro SIRET envoyé à recherche-entreprises.api.gouv.fr est une donnée d'organisme, non personnelle.

5. Transferts hors de l'Union européenne

Les courriels issus des formulaires, ainsi que la gestion du nom de domaine, sont assurés par Infomaniak en Suisse. La Commission européenne reconnaît à la Suisse un niveau de protection adéquat, reconnaissance confirmée lors de son réexamen du 15 janvier 2024 : ce transfert ne demande pas d'autre garantie (article 45 RGPD (nouvel onglet)). Le contrat de sous-traitance avec Infomaniak encadre ce transfert conformément à l'article 28 RGPD (nouvel onglet) et à la LPD suisse. Aucune autre donnée ne quitte l'Union européenne.

6. Sécurité (article 32 RGPD (nouvel onglet))

• communications chiffrées (HTTPS, TLS) et en-têtes de sécurité (politique de sécurité du contenu, protection contre le détournement de clics, politique de référent) ;
• formulaires protégés contre le spam et les robots : champ piège invisible, limitation du nombre d'envois, délai minimal de saisie, jeton contre la falsification de requêtes ;
• protection contre les abus : limitation du nombre de tentatives par adresse IP et par adresse électronique, réponses génériques qui ne révèlent pas l'existence d'un compte ou d'un dossier (anti-énumération) ;
• administration protégée : mots de passe hachés (Argon2id), double authentification, verrouillage après plusieurs échecs, journal des actions en ajout seul ;
• blocage temporaire des adresses IP en cas d'échecs répétés, avec déblocage automatique après une durée limitée pour les IP dynamiques (7 jours pour intrusion, 30 jours pour comptes) et possibilité de déblocage manuel sur demande par mail ;
• espaces de stockage fermés à tout accès depuis Internet, copies de secours, accès aux données limité aux seules personnes autorisées.

7. Vos droits (articles 7, 15 à 22 RGPD (nouvel onglet))

Vous pouvez à tout moment :

• Droit de retrait du consentement (article 7 (nouvel onglet)) : si vous vous êtes abonné à la newsletter depuis votre compte client, retirer ce consentement à tout moment, depuis votre compte ou en nous écrivant, sans remettre en cause la licéité des envois effectués avant ce retrait ;
• Droit d'accès (article 15 (nouvel onglet)) : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie ;
• Droit de rectification (article 16 (nouvel onglet)) : faire corriger des données inexactes ou incomplètes ;
• Droit à l'effacement (article 17 (nouvel onglet)) : demander la suppression de vos données (droit à l'oubli), dans les limites des obligations légales de conservation (factures 10 ans, pièces 5 ans) ;
• Droit à la limitation du traitement (article 18 (nouvel onglet)) : demander la suspension temporaire de l'utilisation de vos données ;
• Droit à la portabilité (article 20 (nouvel onglet)) : recevoir les données que vous nous avez fournies pour une demande ou un contrat, dans un format structuré, couramment utilisé et lisible par machine ;
• Droit d'opposition (article 21 (nouvel onglet)) : vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime (copie de secours, inscription espace pro, mesure d'audience, sécurité), ou à des fins de prospection ;
• Droit de ne pas faire l'objet d'une décision automatisée (article 22 (nouvel onglet)) : ne pas être soumis à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ;
• Directives après décès (article 85 loi Informatique et Libertés (nouvel onglet)) : définir des directives sur le sort de vos données après votre décès.

Pour exercer vos droits : contact@shiloh-concept.fr. Nous vous répondons dans un délai d'un mois ; pour une demande complexe, ce délai peut être prolongé de deux mois, et nous vous en préviendrons (article 12 (nouvel onglet)). En cas de doute raisonnable sur votre identité, un justificatif peut vous être demandé.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL : www.cnil.fr (nouvelle fenêtre), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

8. Cookies

Le site ne dépose aucun cookie publicitaire ni aucun cookie tiers. Seuls des cookies techniques de session servent à la sécurité des formulaires et de l'administration ; ils ne demandent pas votre consentement. Le détail, et le moyen de vous opposer à la mesure d'audience, figurent dans la politique de cookies.

9. Aucune décision automatisée

Aucune décision vous concernant n'est prise par un traitement automatisé, et aucun profilage n'est pratiqué (article 22 (nouvel onglet)). Une demande d'inscription à l'espace pro est toujours examinée par une personne.

10. En cas de violation de données

Si une violation de données présentait un risque pour vos droits, Shiloh Concept la notifierait à la CNIL dans les 72 heures (article 33 (nouvel onglet)) et vous en informerait directement si le risque était élevé (article 34 (nouvel onglet)).

11. Mises à jour

Cette page évolue avec nos traitements. Sa date de mise à jour figure en haut ; tout changement important sera signalé de façon visible sur le site.