Politique de confidentialité : comment nous traitons vos données

Qui traite vos données

Le responsable du traitement, c’est-à-dire celui qui décide comment et pourquoi vos données sont utilisées, est Flag Agency, dont le siège est au via XXXI Maggio 13, 80027 Frattamaggiore (NA), Italie, numéro de TVA 09224551219.

Pour tout ce qui concerne vos données, écrivez à info@flagagency.it ou par courrier à l’adresse de notre siège.

Nous n’avons pas désigné de délégué à la protection des données (DPO) : pour une activité comme la nôtre, ce n’est pas obligatoire.

Quelles données nous traitons

Quand vous naviguez sur le site

Comme presque tous les sites, le serveur qui héberge flagagency.it enregistre automatiquement certaines informations techniques à chaque visite : adresse IP, date et heure, page demandée, page de provenance, type de navigateur et système d’exploitation, résultat de la requête. Ce sont les journaux du serveur (logs). Ils servent à faire fonctionner le site, à le protéger contre les attaques et à comprendre d’éventuelles erreurs. Nous ne les utilisons pas pour savoir qui vous êtes.

Le site ne charge pas de polices, de cartes, de vidéos ou d’autres contenus depuis des serveurs tiers : tant que vous ne cliquez pas sur un lien externe, vous ne communiquez qu’avec notre serveur.

Quand vous remplissez un formulaire

Le site compte 13 formulaires. Chacun ne demande que ce dont nous avons besoin pour vous répondre. Les champs obligatoires sont aussi signalés par un astérisque dans le formulaire.

Avec ce que vous écrivez, le formulaire nous envoie automatiquement :

• le formulaire utilisé et la page du site depuis laquelle vous l’avez envoyé (uniquement l’adresse de la page) ;
• si vous venez de l’une de nos campagnes, les paramètres UTM du lien (par exemple « source : newsletter, campagne : automne ») : ils nous disent quelle campagne a fonctionné, pas qui vous êtes.

Nous n’enregistrons pas votre adresse IP ni le type de navigateur avec la demande. Pour bloquer les envois automatiques (spam), le serveur compte combien de demandes arrivent depuis la même adresse IP, mais il ne la conserve que sous forme d’empreinte irréversible (hachage) et ne l’utilise que pendant 15 minutes.

Dans les champs libres (message, description du problème, motivation), n’écrivez que le nécessaire. Merci de ne pas indiquer de données de santé, d’opinions politiques ou religieuses ni d’autres données « sensibles » : nous n’en avons pas besoin.

Si vous postulez à l’AI Academy

Pour la candidature, nous avons besoin de vos nom et prénom, e-mail, téléphone, de ce que vous faites aujourd’hui, du domaine qui vous intéresse et de quelques lignes de motivation ; le lien vers un portfolio est facultatif. Nous les utilisons pour évaluer la candidature, vous appeler pour l’entretien et choisir les participants (l’Academy compte au maximum 4 places). Si vous êtes sélectionné, nous vous remettrons une information spécifique au parcours.

Si c’est une entreprise qui présente la candidature de l’un de ses collaborateurs, les données de la personne nous parviennent de l’entreprise : dans ce cas, l’entreprise doit l’avoir informée, et la personne peut lire cette page et nous demander à tout moment ce que nous savons d’elle. Lors du premier contact, nous lui indiquons de qui nous avons reçu ses données.

Si vous postulez pour travailler avec nous

Depuis la page Recrutement, vous pouvez postuler à un poste ouvert ou nous envoyer une candidature spontanée. Nous avons besoin de vos nom et prénom, e-mail, du poste qui vous intéresse et de quelques lignes sur vous ; téléphone, lien vers un portfolio ou un profil LinkedIn et CV sont facultatifs. Nous utilisons ces données uniquement pour évaluer la candidature et, si votre profil correspond à ce que nous cherchons, pour vous contacter et faire connaissance.

Le CV ne peut être joint qu’au format PDF (5 Mo maximum). Nous l’enregistrons sous un nom aléatoire dans une zone du serveur inaccessible depuis le web : il n’a pas d’adresse publique et seuls les administrateurs de notre panneau, avec un accès personnel, peuvent le télécharger. Dans le CV, mettez uniquement ce qui sert à vous évaluer : pas besoin de photo, de données de santé ni d’opinions politiques ou religieuses. Si vous nous les envoyez quand même, nous les utilisons uniquement pour la sélection.

Les candidatures et les CV sont supprimés automatiquement 12 mois après leur envoi. Si vous voulez que nous supprimions votre candidature plus tôt, il suffit de le demander. Si vous êtes embauché, les données nécessaires passent à la relation de travail, avec une information spécifique.

Si vous nous écrivez sur WhatsApp, par e-mail ou par téléphone

Si vous cliquez sur l’un des boutons WhatsApp, l’application WhatsApp s’ouvre avec un message déjà rédigé : aucune donnée ne passe par notre site. La conversation a lieu sur WhatsApp, un service de WhatsApp Ireland Limited (groupe Meta), qui traite vos données en tant que responsable de traitement indépendant selon sa propre politique de confidentialité. Nous voyons votre numéro, le nom de votre profil et ce que vous nous écrivez, et nous les utilisons uniquement pour vous répondre.

Il en va de même pour les e-mails à info@flagagency.it et pour les appels téléphoniques : nous utilisons les données que vous nous donnez uniquement pour vous répondre.

Si vous utilisez le chat des modules sur mesure

Sur la page Développement de module PrestaShop, vous pouvez décrire le module dont vous avez besoin à un assistant IA : c’est un programme, pas une personne. Ce que vous écrivez dans le chat (la description du module, les versions de PrestaShop et de PHP, les logiciels à connecter, l’urgence et, à la fin, nom, e-mail et/ou téléphone) est envoyé à Anthropic PBC (États-Unis), le fournisseur du modèle d’intelligence artificielle, qui le traite pour notre compte uniquement pour générer les réponses du chat (politique de confidentialité du fournisseur).

Quand la demande est complète, l’assistant en rédige un résumé que nous enregistrons comme les demandes des formulaires, avec nom et coordonnées : une personne de l’équipe le lit pour vous répondre. La conversation complète ne reste sur notre serveur que pendant que vous discutez : elle est supprimée après 2 heures d’inactivité et en tout cas sous 24 heures. Nous n’écrivons jamais le texte du chat dans le journal du panneau. N’écrivez pas dans le chat de mots de passe, d’accès à votre boutique ni de données de paiement. Si vous ne voulez pas utiliser l’assistant, le formulaire classique est toujours là, et il ne passe pas par le fournisseur d’IA.

Si vous utilisez l’analyse gratuite de l’accessibilité

Sur la page Accessibilité du site web, vous saisissez l’adresse d’un site : notre serveur télécharge cette page publique (et, s’il y en a une, la page de la déclaration d’accessibilité) et la contrôle. Nous ne vous demandons aucune donnée personnelle et nous n’enregistrons pas l’adresse complète analysée : pour les statistiques du service, nous enregistrons seulement le nom de domaine (par exemple boutique.fr), avec la date, la langue, le score, les résultats des contrôles et si vous nous avez ensuite écrit ; ces données sont supprimées automatiquement après 24 mois. Pour éviter les abus, nous comptons les analyses provenant de la même adresse IP, conservée uniquement sous forme d’empreinte irréversible pendant 60 minutes.

Si vous demandez ensuite le rapport complet avec le formulaire sous le résultat, nous enregistrons le nom, l’e-mail, le téléphone (si vous l’indiquez), l’adresse du site, l’offre qui vous intéresse et votre consentement, comme les autres demandes. Notre serveur d’analyse ouvre quelques pages publiques du site avec un navigateur automatique : nous ne lui envoyons que l’adresse du site, jamais vos données. Le rapport se trouve sur une page privée, accessible seulement avec le lien que nous vous envoyons par e-mail, valable 90 jours.

Cookies et stockage dans le navigateur

Le site utilise uniquement un stockage technique dans le navigateur et, seulement si vous acceptez, des outils de mesure. Vous trouverez la liste complète, avec les noms et les durées, dans la politique cookies.

Pourquoi nous les utilisons et sur quelle base

Le RGPD demande d’indiquer, pour chaque utilisation des données, sa « base légale », c’est-à-dire le motif qui la rend licite. Les voici, en clair.

Quand nous nous fondons sur l’intérêt légitime, nous avons vérifié qu’il ne pèse pas sur vos droits : nous utilisons peu de données, pendant peu de temps. Vous pouvez toutefois vous y opposer.

Nous n’utilisons pas les données des formulaires pour vous envoyer des newsletters ou de la publicité, et nous ne les vendons pas. Le seul service d’intelligence artificielle qui reçoit des données du site est l’assistant du chat des modules sur mesure, et seulement pour ce que vous y écrivez ; nous ne transmettons pas les données des formulaires classiques à des services d’intelligence artificielle.

Êtes-vous obligé de nous donner vos données ?

Non, personne ne vous y oblige. Mais sans les champs obligatoires du formulaire (nom et un moyen de vous recontacter), nous ne pouvons ni vous répondre ni évaluer votre candidature. Les champs facultatifs nous aident à vous donner une réponse plus précise : si vous préférez, laissez-les vides.

Combien de temps nous les conservons

Demandes envoyées via les formulaires (devis, maintenance, analyse des réseaux sociaux, contact)

365 jours à compter de leur réception, puis le système les supprime automatiquement. Si entre-temps vous devenez client, les données passent au contrat et nous les conservons pendant la durée prévue par la loi (par exemple 10 ans pour les documents comptables).

Candidatures à l’AI Academy

365 jours à compter de leur réception, comme les autres demandes. Si vous n’êtes pas sélectionné et voulez que nous supprimions la candidature plus tôt, il suffit de le demander.

Candidatures d’emploi et CV

12 mois à compter de leur réception, puis le système supprime automatiquement la candidature et le fichier du CV. Si vous n’êtes pas sélectionné et voulez que nous les supprimions plus tôt, il suffit de le demander.

E-mails de notification que l’équipe reçoit pour chaque demande

L’équipe reçoit une copie de la demande dans la boîte info@flagagency.it. Nous les supprimons selon la même règle que les formulaires.

Conversation avec l’assistant du chat des modules

Sur notre serveur : supprimée après 2 heures d’inactivité et en tout cas sous 24 heures. Le résumé de la demande, avec nom et coordonnées, est conservé comme les autres demandes des formulaires. Chez le fournisseur d’IA :

Analyse de l’accessibilité

L’adresse complète analysée n’est pas conservée ; le nom de domaine et les résultats pour les statistiques sont supprimés après 24 mois ; le lien privé du rapport expire après 90 jours ; l’empreinte de l’IP pour la limite d’analyses est supprimée après 60 minutes.

Conversations WhatsApp et e-mails que vous nous envoyez directement

Le temps nécessaire pour répondre et suivre la demande.

Journaux du serveur

Pendant la durée prévue par l’hébergeur pour des raisons de sécurité.

Empreinte de l’adresse IP pour la limite d’envois

15 minutes.

Choix concernant les cookies

180 jours, dans votre navigateur : ensuite, nous vous le redemandons.

Si vous nous demandez de supprimer vos données plus tôt, nous le faisons sans attendre les échéances (sauf obligation légale).

Qui d’autre peut les voir

Seules les personnes de l’équipe de Flag qui doivent vous répondre voient les données, avec un accès personnel protégé par mot de passe. Pour faire fonctionner le site, nous faisons appel à certains prestataires, qui traitent les données pour notre compte en tant que sous-traitants (art. 28 du RGPD), avec un contrat qui les oblige à les protéger :

• Hébergement : le prestataire qui héberge le site, les formulaires et leurs archives.
• Messagerie : le service qui gère la boîte info@flagagency.it et les e-mails de notification.
• Tag Manager Head : outil activé depuis notre panneau, uniquement si vous acceptez les cookies.
• Tag Manager Body : outil activé depuis notre panneau, uniquement si vous acceptez les cookies.
• Intelligence artificielle : Anthropic PBC (États-Unis), uniquement pour les messages que vous écrivez dans le chat des modules sur mesure.
• Conseillers (par exemple l’expert-comptable), uniquement si vous devenez client et uniquement pour les obligations légales.

WhatsApp (Meta) n’est pas l’un de nos prestataires pour le site : si vous choisissez de nous y écrire, il traite vos données en tant que responsable de traitement indépendant. Il en va de même pour les réseaux sociaux, si vous ouvrez nos profils. Vos données ne sont ni diffusées ni vendues. Nous pourrions devoir les communiquer aux autorités uniquement si la loi l’impose.

Transferts hors de l’Union européenne

Les données des formulaires restent dans l’Union européenne : elles se trouvent sur le serveur de notre hébergeur.

Si vous utilisez le chat des modules sur mesure, ce que vous écrivez est traité par Anthropic PBC aux États-Unis : il s’agit d’un transfert hors de l’Union européenne, effectué avec les garanties prévues par le RGPD (clauses contractuelles types de la Commission européenne dans le contrat avec le fournisseur). Le formulaire classique et l’analyse de l’accessibilité ne transfèrent pas de données hors de l’Union.

Si vous nous écrivez sur WhatsApp, Meta peut transférer les données aux États-Unis : il le fait avec les garanties décrites dans sa politique de confidentialité (EU-U.S. Data Privacy Framework et clauses contractuelles types de la Commission européenne).

Profilage et décisions automatisées

Nous ne faisons pas de profilage et ne prenons pas de décisions fondées uniquement sur un traitement automatisé. Chaque demande et chaque candidature est lue et évaluée par une personne de l’équipe.

Comment nous protégeons les données

• Le site fonctionne uniquement en HTTPS : ce que vous envoyez circule de façon chiffrée.
• Les archives des demandes se trouvent hors de la partie publique du serveur et ne sont pas accessibles depuis le web.
• Les CV ont un nom aléatoire, se trouvent dans la même zone protégée et ne se téléchargent que depuis le panneau, par les administrateurs : aucun lien public. Le serveur vérifie que le fichier est bien un PDF.
• Seules les personnes de l’équipe accèdent à l’espace réservé, avec des identifiants personnels, un blocage après trop de tentatives erronées et une déconnexion automatique après une période d’inactivité.
• Le journal d’activité du panneau ne contient pas les données personnelles des demandes.

Vos droits et la réclamation auprès de l’autorité de contrôle

À tout moment, gratuitement, vous pouvez nous demander :

• l’accès : savoir si nous détenons des données vous concernant, lesquelles, et en recevoir une copie (art. 15) ;
• la rectification : les corriger ou les compléter (art. 16) ;
• l’effacement : les faire supprimer (art. 17) ;
• la limitation : nous faire suspendre l’utilisation des données dans certains cas (art. 18) ;
• la portabilité : les recevoir dans un format lisible par machine, pour les transmettre à quelqu’un d’autre (art. 20) ;
• l’opposition : vous opposer aux utilisations fondées sur notre intérêt légitime (art. 21) ;
• le retrait du consentement, si vous nous l’avez donné (par exemple pour les cookies de mesure) : sans effet sur ce que nous avons fait avant le retrait (art. 7).

Pour les exercer, écrivez à info@flagagency.it. Nous vous répondons dans un délai d’un mois (art. 12). Si nous ne parvenons pas à savoir qui vous êtes, nous pourrons vous demander une information pour le vérifier, afin de ne pas communiquer vos données à quelqu’un d’autre.

Si vous estimez que nous traitons vos données de manière incorrecte, vous pouvez introduire une réclamation auprès de l’autorité italienne de protection des données, le Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Rome, Italie, sur le site garanteprivacy.it, ou auprès de l’autorité de contrôle du pays européen où vous vivez ou travaillez (en France, la CNIL). Si vous le souhaitez, écrivez-nous d’abord : nous essaierons de trouver une solution ensemble.

Mineurs

Le site s’adresse aux entreprises et aux professionnels. Nous ne collectons pas sciemment de données de mineurs de moins de 14 ans : si vous vous apercevez qu’un mineur nous a envoyé ses données, écrivez-nous et nous les supprimerons.

Modifications de cette politique

Si nous changeons notre façon de traiter les données (par exemple si nous activons un outil de statistiques ou changeons de prestataire), nous mettons à jour cette page et la date en haut. Pour les changements importants, nous vous le signalons aussi sur le site.