Politique de confidentialité
Quelles données ce service traite, pourquoi, combien de temps, et comment exercer vos droits.
Dernière mise à jour le
1. Responsable du traitement
Le responsable du traitement est MAKINGCODES, dont l'identification complète figure dans les mentions légales.
- Contact « données personnelles »
- [email protected], sans compte
- Délégué à la protection des données
- aucun DPO désigné, la désignation n'étant pas obligatoire au regard de l'activité
2. Notre principe
Ce service collecte le strict nécessaire, et rien d'autre. Il n'y a pas de mot de passe, donc aucun mot de passe à stocker ni à fuiter. Il n'y a aucun cookie de mesure d'audience, aucun pixel, aucun traceur publicitaire, aucun réseau social embarqué, et aucune revente ni cession de données à quiconque. La fréquentation du site est comptée par le serveur, sans rien déposer dans votre navigateur (voir 3.9).
3. Données traitées, finalités et durées
Les fiches ci-dessous décrivent ce que le service enregistre réellement. Toutes les durées indiquées sont appliquées automatiquement par le service, qui fait le ménage chaque heure. Une demande d'effacement est exécutée sans attendre leur terme.
3.1 Compte et connexion
- Données
- Adresse électronique, puis la fiche demandée pour accéder à l'espace client (prénom, nom, numéro de téléphone et société, avec son numéro SIREN quand vous la choisissez dans l'annuaire des entreprises), préférence de thème des e-mails, dates de création et de dernière connexion. Les liens et les codes de connexion ne sont jamais conservés en clair. Seule une empreinte calculée avec une clé secrète est enregistrée, avec le nombre de tentatives et la date d'expiration.
- Finalité
- vous identifier sans mot de passe, ouvrir et sécuriser votre session.
- Base légale
- exécution du contrat ou mesures précontractuelles prises à votre demande (art. 6.1.b du RGPD).
- Durée
- Les liens et les codes valent 10 minutes, servent une seule fois et sont supprimés 24 heures après leur expiration. Les sessions durent 30 jours par défaut, celles de l'équipe 12 heures. Chacun peut choisir 1 heure, 12 heures, 7 jours ou 30 jours dans ses paramètres, et fermer chaque session ouverte. Elles sont ensuite supprimées. Un compte dont la fiche n'est pas remplie dans les 30 jours suivant sa création est supprimé avec ses données (voir 3.7). Un compte qui ne porte plus ni demande ni rendez-vous est supprimé 3 ans après votre dernière connexion.
Le numéro de téléphone est contrôlé sur sa forme uniquement (format international E.164). Il n'est pas vérifié par SMS. Nous ne prétendons donc pas qu'il vous appartient.
3.2 Demandes et échanges
- Données
- Depuis l'espace client, le produit concerné, l'objet et le message, avec la fiche de votre compte. Puis le texte des messages échangés, et l'adresse IP et le user-agent au moment du dépôt. Le service n'accepte aucun fichier.
- Finalité
- répondre à votre demande, en assurer le suivi et en garder la trace.
- Base légale
- Mesures précontractuelles prises à votre demande et exécution du contrat (art. 6.1.b). Pour l'adresse IP et le user-agent, intérêt légitime à prévenir les abus (art. 6.1.f). Aucune case à cocher ne vous est demandée, cette information en tient lieu.
- Durée
- 3 ans à compter du dernier échange, puis suppression avec les messages.
Le formulaire de contact sans compte a été retiré le 6 octobre 2026. Une demande qu'il a reçue garde votre adresse électronique, votre nom, l'objet et le message, sur un compte léger sans fiche. Ce compte est supprimé avec votre dernière demande.
3.3 Rendez-vous
- Données
- Créneau, statut, numéro de téléphone auquel nous vous appelons, sujet indiqué, références techniques de l'invitation d'agenda. Si vous répondez à l'invitation depuis votre agenda, votre réponse nous parvient par courriel. Un refus annule le rendez-vous, une acceptation est notée dans son historique. Nous gardons un an l'identifiant de ce courriel, pour ne jamais le traiter deux fois.
- Finalité
- organiser le rendez-vous téléphonique, vous envoyer la confirmation, les rappels et les éventuelles annulations, et le reporter dans l'agenda de MAKINGCODES.
- Base légale
- mesures précontractuelles prises à votre demande (art. 6.1.b).
- Durée
- 3 ans après la date du rendez-vous, puis suppression, dans le service comme dans l'agenda de MAKINGCODES.
3.4 Lutte contre les abus
- Données
- Adresse IP ou adresse électronique, nature de l'action tentée (dépôt d'une demande, envoi d'un code, saisie d'un code, réservation) et horodatage. Ces enregistrements alimentent les limitations de débit.
- Finalité
- empêcher l'envoi automatisé, la saturation du service et les tentatives de connexion par force brute.
- Base légale
- intérêt légitime à la sécurité du service (art. 6.1.f).
- Durée
- 24 heures pour les codes faux et les renvois de code, 6 mois pour le reste, puis suppression automatique.
3.5 Journaux techniques
- Données
- Date, adresse IP complète, méthode, chemin sans ses paramètres, code de réponse et durée de chaque requête, et une empreinte à clé secrète du compte connecté. Jamais le contenu de vos messages, jamais votre adresse électronique, jamais un code ni un lien de connexion.
- Finalité
- sécurité et prévention des intrusions. Détecter une attaque et en retracer le chemin, établir les règles du pare-feu, diagnostiquer les pannes.
- Base légale
- intérêt légitime à la sécurité et au bon fonctionnement du service (art. 6.1.f).
- Durée
- le journal d'accès, qui garde l'adresse IP complète, est conservé 3 ans sur le serveur du service, un fichier par mois. Un mois commencé il y a plus de 3 ans est supprimé. Cette durée dépasse les six mois à un an que la CNIL recommande pour la journalisation (délibération 2021-122). Elle est retenue parce qu'une intrusion se découvre souvent longtemps après les faits, et parce que les règles du pare-feu s'établissent sur l'historique des adresses qui ont attaqué le service. Le journal n'est lu que par l'équipe technique, pour ces seules raisons, et par le décompte de la fréquentation décrit en 3.9, qui n'en montre que des totaux. Il est compris dans les sauvegardes décrites ci-dessous, qui suivent leur propre calendrier. Les journaux de fonctionnement de l'application, eux, sont bornés en taille, trois fichiers de 10 Mo au plus, et disparaissent avec l'instance du service, remplacée à chaque mise à jour.
- Autre usage
- ce journal sert aussi à la mesure d'audience décrite en 3.9, qui n'en tire que des totaux.
3.6 Courriels envoyés
- Données
- Destinataire, objet, contenu et statut d'envoi des messages que le service vous adresse (lien et code de connexion, accusé de réception, réponse de l'équipe, confirmation, rappel et annulation de rendez-vous). Le code de connexion y est masqué.
- Finalité
- prouver l'envoi, diagnostiquer un courriel non reçu et assurer le suivi de la relation.
- Base légale
- exécution du contrat (art. 6.1.b) et intérêt légitime (art. 6.1.f).
- Durée
- 3 ans après l'envoi, puis suppression automatique.
3.7 Inscriptions interrompues
- Données
- une empreinte de votre adresse électronique, calculée avec une clé secrète réservée à cet usage, et les dates de votre première et de votre dernière tentative d'inscription. Ni l'adresse elle-même, ni votre nom, ni votre adresse IP ne sont gardés. Sans la clé, l'empreinte ne permet pas de retrouver l'adresse.
- Finalité
- suivre les prospects qui ont interrompu leur inscription, et reconnaître une adresse qui revient. L'équipe voit alors qu'un compte revient après un abandon, et à quelle date datait la première tentative. Elle voit aussi le nombre d'abandons et de retours, sans aucune adresse.
- Base légale
- intérêt légitime de MAKINGCODES à suivre ses prospects (art. 6.1.f du RGPD).
- Durée
- le compte dont la fiche n'est pas remplie est supprimé, avec ses données, 30 jours après sa création. L'empreinte est conservée 3 ans à compter de la dernière tentative, durée relancée à chaque nouvelle tentative, comme le retient le référentiel de la CNIL sur la gestion des activités commerciales pour les prospects. Elle est ensuite supprimée automatiquement. Une demande reçue par l'ancien formulaire de contact n'est pas une inscription et ne laisse aucune empreinte.
- Opposition
- vous pouvez vous opposer à ce suivi à tout moment, sans avoir à vous justifier, par les moyens indiqués à la section 10. L'empreinte de votre adresse est alors effacée, et un retour ne sera plus reconnu.
3.8 Sauvegardes
- Données
- une copie de la base du service, donc de toutes les données décrites ci-dessus.
- Finalité
- restaurer le service après une panne ou une erreur.
- Base légale
- intérêt légitime à la continuité du service (art. 6.1.f).
- Durée
- une copie de la base est faite chaque heure sur le serveur du service, qui garde les 48 dernières, soit deux jours. Une copie est aussi faite avant chaque mise à jour de la structure de la base, gardée 90 jours au plus. Les copies sont ensuite collectées chaque nuit dans un dépôt chiffré, sur les serveurs de stockage de MAKINGCODES, en France. Ce calendrier est dégressif. Une par jour pendant 14 jours, une par semaine pendant 8 semaines, une par mois pendant 12 mois et une par an pendant 3 ans. Une donnée supprimée du service disparaît donc des sauvegardes au plus tard 3 ans après. Une sauvegarde ne sert qu'à restaurer le service. Après une restauration, les durées ci-dessus s'appliquent de nouveau dès la première heure, et les demandes d'effacement reçues entre-temps sont exécutées de nouveau.
3.9 Mesure d'audience
- Données
- aucune donnée de plus que le journal d'accès décrit en 3.5. Le service y lit la date, la page demandée et son code de réponse, l'adresse IP, qui sert seulement à compter les visiteurs distincts, et la présence d'une connexion. Le journal porte aussi des indicateurs calculés au moment de la requête. Le domaine du site d'où vous venez, jamais l'adresse complète de la page d'origine. Un indicateur d'appareil mobile. Une marque quand une demande de rendez-vous aboutit. Une marque pour les robots et les préchargements, qui ne sont pas comptés. Ni le user-agent de votre navigateur ni l'adresse de la page d'origine ne sont enregistrés.
- Finalité
- connaître la fréquentation du site et le parcours qui mène à une demande de rendez-vous, pour améliorer le site. Le service n'en tire que des totaux. Pages vues et visiteurs sur 7 et 30 jours, pages les plus vues, sites d'origine, part des appareils mobiles, nombre de visiteurs à chaque étape du parcours. Ces totaux ne sont montrés qu'à l'équipe de MAKINGCODES. Aucune adresse IP n'y figure.
- Base légale
- intérêt légitime de MAKINGCODES à mesurer la fréquentation de son site (art. 6.1.f du RGPD).
- Sans cookie
- aucun cookie, aucun traceur et aucun service tiers ne servent à cette mesure. Rien n'est déposé ni lu dans votre navigateur pour elle. Le décompte est fait par le serveur du service, et ses données ne sont transmises à personne.
- Durée
- le décompte ne lit que les 60 derniers jours du journal. Son résultat est gardé 10 minutes en mémoire, puis recalculé, et n'est jamais enregistré. Les indicateurs écrits dans le journal suivent sa durée, indiquée en 3.5.
- Opposition
- vous pouvez vous opposer à cette mesure à tout moment, par les moyens indiqués à la section 10.
Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée, et le service ne met en œuvre aucune décision automatisée produisant des effets juridiques, ni aucun profilage.
4. Origine des données
Toutes les données proviennent de vous. Elles sont saisies dans les formulaires du service, ou générées par votre usage (horodatages, adresse IP de connexion). Aucune donnée n'est achetée ni collectée auprès de tiers.
5. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes de MAKINGCODES chargées de traiter votre demande. Elles sont également confiées aux prestataires présentés ci-dessous. Ce sont des sous-traitants liés par un contrat conforme à l'article 28 du RGPD, sauf mention contraire.
- Hébergement
- OVH SAS (OVHcloud), Union européenne. Il héberge le service et sa base de données.
- Hébergement
- Oracle France SAS (Oracle Cloud), Union européenne. Il héberge le service et sa base de données.
- Intermédiaire technique
- Cloudflare, Inc. (Cloudflare), États-Unis. Toutes les requêtes passent par son réseau, qui protège le service contre les attaques, chiffre les échanges et les transmet au serveur par un tunnel chiffré. Il voit donc votre adresse IP et le contenu des pages échangées. Son service anti-robot vérifie, sur les formulaires, que vous n'êtes pas un robot.
- Messagerie
- Infomaniak Network SA (Infomaniak), Suisse. Elle héberge les boîtes de MAKINGCODES et achemine les e-mails du service (liens et codes de connexion, accusés de réception, réponses et rendez-vous).
- Agenda
- Google Ireland Limited (Google Agenda), Union européenne et États-Unis. Pour ce service gratuit, il agit en responsable de traitement, et non en sous-traitant. Aucun contrat de sous-traitance ne le lie à MAKINGCODES. Chaque rendez-vous confirmé est reporté dans l'agenda de MAKINGCODES, avec sa référence et son horaire seulement. Ni votre nom, ni le sujet, ni vos coordonnées n'y figurent. Il en est retiré à l'annulation, puis au plus tard 3 ans après la date.
- Annuaire des entreprises
- L'API Recherche d'entreprises de l'État (Direction interministérielle du numérique, France). Pour vous proposer votre société, le service lui transmet seulement le nom ou le numéro SIREN que vous tapez dans le champ Société. Ni votre nom, ni votre adresse, ni votre téléphone ne lui sont envoyés. C'est un service public ouvert, pas un sous-traitant.
- Visioconférence
- Aucun service de visioconférence n'est utilisé. Les rendez-vous ont lieu par téléphone.
Vos données peuvent enfin être communiquées à une autorité administrative ou judiciaire lorsque la loi l'impose.
6. Transferts hors Union européenne
Certains prestataires traitent des données hors de l'Union européenne. Chaque transfert repose sur une garantie.
- Cloudflare, Inc.
- États-Unis. Data Privacy Framework (Cloudflare, Inc. y est certifiée), clauses contractuelles types de la Commission européenne en repli.
- Infomaniak Network SA
- Suisse. Décision d'adéquation de la Commission européenne (Suisse).
- Google Ireland Limited
- États-Unis. Data Privacy Framework (Google LLC y est certifiée).
Aucun autre transfert hors de l'Union européenne n'a lieu.
7. Sécurité
Les mesures suivantes sont effectivement mises en œuvre.
- Chiffrement des échanges en TLS lorsque le service est exposé publiquement.
- Aucun mot de passe utilisateur. Les codes de connexion sont stockés sous forme d'empreinte à clé secrète, à usage unique, avec expiration et plafond de tentatives.
- L'équipe se connecte comme les clients, par lien ou code, sans mot de passe, avec les mêmes protections.
- Sessions enregistrées côté serveur et révocables immédiatement, cookies
HttpOnly,SameSiteetSecureen HTTPS. - Protection contre la falsification de requête (CSRF) sur tous les envois de formulaire, et jetons de suivi signés, liés à une demande et expirants.
- Requêtes préparées à paramètres pour tout accès à la base, échappement systématique des gabarits, en-têtes de sécurité restrictifs dont une politique de contenu n'autorisant aucun script tiers.
- Journalisation structurée sans contenu de message ni adresse électronique. L'adresse IP complète y sert à la sécurité, 3 ans, et au seul décompte des visiteurs distincts.
- Sauvegardes conservées dans un dépôt chiffré.
En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous en seriez informé conformément à l'article 34 du RGPD, et la CNIL notifiée dans les 72 heures.
9. Vos droits
Conformément au RGPD et à la loi « Informatique et Libertés », vous disposez des droits suivants.
- Accès. Obtenir une copie des données vous concernant.
- Rectification. Corriger une donnée inexacte ou incomplète.
- Effacement. Demander la suppression de vos données.
- Limitation. Demander le gel d'un traitement le temps d'une vérification.
- Opposition. Vous opposer, pour un motif tenant à votre situation particulière, aux traitements fondés sur l'intérêt légitime.
- Portabilité. Recevoir dans un format structuré et lisible par machine les données que vous nous avez fournies.
- Directives post mortem. Définir le sort de vos données après votre décès.
Le retrait de votre consentement, lorsqu'il fonde un traitement, est possible à tout moment et ne remet pas en cause ce qui a été fait auparavant.
10. Comment les exercer
Vous n'avez pas besoin de compte. Adressez votre demande à l'adresse [email protected], ou par courrier au siège de MAKINGCODES, 200 rue de la Croix Nivert, 75015 Paris. Nous vous répondons à l'adresse électronique concernée, ce qui suffit le plus souvent à vérifier que la demande vient de vous. En cas de doute raisonnable, nous pouvons vous demander une information complémentaire.
Nous répondons dans un délai d'un mois à compter de la réception, prolongeable de deux mois si la demande est complexe. Vous en seriez alors informé.
11. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés, dont les coordonnées figurent ci-dessous.
- Adresse
- CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
- En ligne
- www.cnil.fr/fr/plaintes
12. Évolution de cette politique
Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en tête de page. En cas de changement substantiel des finalités ou des durées, les titulaires d'un compte actif en sont informés par courriel.