DERNIÈRE MISE À JOUR : 7 octobre 2026
1. OBJET ET CHAMP D’APPLICATION
La présente politique explique comment HermIAflow collecte et utilise les données personnelles des visiteurs de son site, de ses prospects, de ses clients professionnels et de leurs interlocuteurs.
Elle concerne les traitements pour lesquels HermIAflow détermine les finalités et les moyens. Les traitements réalisés pour le compte d’un client dans le cadre d’une prestation sont précisés à la section 14.
2. RESPONSABLE DU TRAITEMENT
Responsable du traitement : Mendy Fabre, entrepreneur individuel exerçant sous le nom commercial HermIAflow, sous le régime de la micro-entreprise.
Adresse : 352 allée Jean-François Champollion, 13920 Saint-Mitre-les-Remparts, France.
E-mail de contact RGPD : contact@hermiaflow.com
Téléphone : 06 38 74 43 06
3. DONNÉES TRAITÉES
Selon les échanges et services utilisés, HermIAflow peut traiter les catégories de données suivantes :
- données d’identification et coordonnées professionnelles : nom, prénom, entreprise, fonction, adresse e-mail, numéro de téléphone ;
- informations transmises dans les formulaires, demandes de contact, prises de rendez-vous et échanges ;
- données nécessaires à l’établissement des devis, à la gestion contractuelle, à la facturation et au suivi des prestations ;
- données techniques et de connexion strictement nécessaires au fonctionnement, à la sécurité et à l’administration du site ;
- préférences relatives aux cookies et, lorsque le consentement a été donné, données associées aux traceurs concernés ;
Les données personnelles traitées pour le compte d’un Client dans le cadre d’une prestation relèvent de l’encadrement décrit à la section 14.
HermIAflow ne demande pas aux utilisateurs de transmettre des données sensibles au sens de l’article 9 du RGPD par les formulaires généraux du site. Toute transmission spontanée doit être limitée à ce qui est strictement nécessaire.
4. SOURCES DES DONNÉES
Les données sont collectées directement auprès de la personne concernée, de son entreprise ou de l’interlocuteur professionnel qui contacte HermIAflow. Certaines données techniques peuvent être générées lors de l’utilisation du site ou des services associés.
5. FINALITÉS ET BASES LÉGALES
| Finalité | Base légale |
|---|---|
| Répondre aux demandes de contact, qualifier un besoin professionnel et organiser un rendez-vous | Mesures précontractuelles prises à la demande de la personne concernée lorsqu’elle envisage de contracter personnellement ; intérêt légitime d’HermIAflow à traiter les demandes professionnelles et à échanger avec les interlocuteurs d’une entreprise dans les autres cas. |
| Établir des devis et préparer une prestation | Mesures précontractuelles prises à la demande de la personne concernée lorsqu’elle envisage de contracter personnellement ; intérêt légitime d’HermIAflow à traiter les demandes professionnelles et à échanger avec les interlocuteurs d’une entreprise dans les autres cas. |
| Exécuter les prestations, assurer le suivi client et le support | Exécution du contrat lorsque la personne concernée est personnellement partie au contrat ; intérêt légitime d’HermIAflow à gérer la relation professionnelle, les prestations et le support pour les données des interlocuteurs d’un Client personne morale. |
| Établir et conserver les factures, tenir la comptabilité et satisfaire aux obligations fiscales | Obligation légale. |
| Assurer la sécurité du site, prévenir les abus et défendre les droits d’HermIAflow | Intérêt légitime. |
| Mesurer l’audience du site avec Google Analytics 4 et utiliser les traceurs non nécessaires associés | Consentement. |
| Répondre aux demandes d’exercice de droits | Obligation légale. |
Lorsque le traitement repose sur l’intérêt légitime, HermIAflow veille à ce que cet intérêt ne porte pas une atteinte disproportionnée aux droits et libertés des personnes concernées.
6. CARACTÈRE OBLIGATOIRE DES DONNÉES
Les champs signalés comme obligatoires sont nécessaires pour traiter la demande concernée. À défaut, HermIAflow peut ne pas être en mesure de répondre, d’établir un devis, de conclure un contrat ou d’exécuter la prestation.
Les autres informations sont facultatives et permettent uniquement de préciser la demande. Le formulaire de contact présente une information sur l’utilisation des données pour traiter la demande et répondre, avec un lien vers la Politique de confidentialité ; il ne demande pas de consentement pour cette finalité.
7. DESTINATAIRES
Les données sont accessibles à HermIAflow et, dans la limite de leurs attributions, aux prestataires techniques nécessaires au fonctionnement du site, à la gestion des demandes, à la prise de rendez-vous, au stockage, à l’automatisation et à l’exécution des prestations.
Elles peuvent également être communiquées aux autorités, juridictions, conseils ou organismes habilités lorsque la loi l’impose ou lorsque cela est nécessaire à la constatation, à l’exercice ou à la défense d’un droit.
HermIAflow ne vend pas les données personnelles.
8. SERVICES UTILISÉS ET FOURNISSEURS
HermIAflow utilise les services suivants pour les fonctions indiquées :
| Fournisseur / service | Fonction |
|---|---|
| OVH SAS (OVHcloud) | Hébergement du site WordPress et messagerie professionnelle OVH / Zimbra. |
| Make | Transmission automatisée des demandes du formulaire vers Airtable. L’organisation HermIAflow utilise la zone EU1 de Make. |
| Airtable | Stockage des prospects et des informations nécessaires au suivi des demandes. L’IA Airtable n’est pas utilisée pour les données des prospects HermIAflow. |
| Cal.com | Prise de rendez-vous par lien externe et ajout des rendez-vous dans Google Calendar, connecté au compte. Selon le type de rendez-vous, la visioconférence peut utiliser Cal Video, solution par défaut propulsée par Daily.co, ou Google Meet, également disponible. |
| Google Analytics 4 | Mesure d’audience soumise au consentement, intégrée au site avec Site Kit. |
| Cloudflare Turnstile | Protection du formulaire de contact contre les abus et les robots, par analyse de signaux techniques. |
WordPress est le logiciel de gestion du site. Site Kit, Complianz et WP Consent API sont des composants techniques utilisés pour intégrer les services Google et gérer les choix de consentement ; leur installation ne constitue pas, à elle seule, une transmission des données à leurs éditeurs.
Turnstile, fourni par Cloudflare, Inc., peut traiter notamment l’adresse IP du visiteur, une empreinte TLS, l’en-tête User-Agent ainsi que la clé du site et son origine associée. Selon la notice officielle de Turnstile, Cloudflare agit comme sous-traitant pour fournir la protection du site selon les instructions de son exploitant, et comme responsable du traitement distinct pour améliorer la détection des robots. Pour cette seconde finalité, Cloudflare indique se fonder sur son intérêt légitime. Informations : https://www.cloudflare.com/turnstile-privacy-policy/.
Les fournisseurs intervenant comme sous-traitants doivent être encadrés par un accord relatif au traitement des données et des instructions applicables. La disponibilité d’un DPA dans les documents d’un fournisseur ne prouve pas, à elle seule, sa conclusion pour un compte donné. Pour leurs traitements propres, certains fournisseurs peuvent agir comme responsables du traitement distincts, selon leurs conditions. Le DPA Airtable est signé et effectif. Le DPA Cal.com est signé par HermIAflow et reste en attente de contre-signature ou de finalisation par Cal.com ; il n’est pas présenté ici comme finalisé.
Les services utilisés pour traiter des données personnelles pour le compte d’un Client sont identifiés dans la fiche projet du RGPD Client, selon la mission.
9. TRANSFERTS HORS DE L’ESPACE ÉCONOMIQUE EUROPÉEN
L’utilisation d’Airtable, de Cal.com, de Make, de Google Analytics 4 et de Cloudflare Turnstile peut impliquer des traitements ou des accès à des données depuis des pays situés hors de l’Espace économique européen, notamment les États-Unis. Un stockage principal dans l’Union européenne n’exclut pas nécessairement ces accès ou d’autres traitements hors de l’EEE.
Les documents officiels de ces fournisseurs prévoient des mécanismes de transfert tels que les clauses contractuelles types et, selon l’entité concernée, le Data Privacy Framework. Leur application dépend du service, de l’entité contractante et du flux : une décision d’adéquation ne peut être invoquée que si ses conditions sont réunies ; les clauses contractuelles types nécessitent les garanties et, le cas échéant, les mesures supplémentaires appropriées. Pour Airtable, le DPA signé et effectif prévoit notamment les clauses contractuelles types européennes pour les transferts concernés. Le DPA Cal.com reste en attente de contre-signature ou de finalisation. Les autres garanties et configurations n’ont pas toutes été vérifiées ; aucune garantie non établie n’est présentée comme acquise pour un flux donné.
La politique officielle de Cloudflare prévoit des traitements aux États-Unis et dans d’autres pays. Elle indique recourir au Data Privacy Framework pour les transferts de l’EEE vers les États-Unis et aux clauses contractuelles types pour d’autres transferts, ou en remplacement si cette certification devient invalide. Ces indications publiques ne constituent pas une vérification du DPA, de la localisation, des réglages ni des garanties effectivement applicables au compte HermIAflow. Informations : https://www.cloudflare.com/policies/privacy/.
Pour connaître les pays concernés, les destinataires et les garanties applicables à vos données, ou obtenir une copie de ces garanties, contactez contact@hermiaflow.com. Les informations confidentielles peuvent être occultées dans la mesure nécessaire, sans empêcher la compréhension des garanties de protection.
10. DURÉES DE CONSERVATION
Les données sont conservées pendant une durée proportionnée à leur finalité, puis supprimées ou archivées lorsque la loi l’exige.
| Catégorie | Durée ou critère de conservation |
|---|---|
| Demandes de contact sans suite contractuelle et prospects professionnels | 3 ans à compter de la collecte ou du dernier contact émanant du prospect. Une relance d’HermIAflow seule ne renouvelle pas ce délai. |
| Dossier client et suivi contractuel | Pendant la relation contractuelle ; après sa fin, seules les données nécessaires à la preuve et à la défense des droits sont conservées en archivage intermédiaire, en principe pendant 5 ans. Cette durée est adaptée lorsque le point de départ, la suspension ou l’interruption d’un délai de prescription, une procédure ou une obligation particulière l’exige. |
| Factures et pièces comptables | 10 ans à compter de la clôture de l’exercice concerné. |
| Données nécessaires à la défense d’un droit | Durée du délai de prescription applicable et, en cas de procédure, jusqu’à son terme. |
| Journaux techniques et données de sécurité | Conservation limitée à la détection et à l’analyse des erreurs ou incidents et à la prévention des abus ; rotation ou suppression selon les paramètres du service. Les éléments nécessaires à un incident sont isolés jusqu’à sa résolution ou pendant la durée nécessaire à la défense d’un droit. |
| Historiques d’exécution Make | Pour le scénario du formulaire, « Keep data confidential » est activé : le contenu des données traitées n’est pas conservé dans les journaux d’exécution après traitement. Le stockage des exécutions incomplètes est désactivé. Ces réglages ne concernent pas la conservation des prospects dans Airtable. |
| Données de suivi dans Airtable et rendez-vous Cal.com | Selon la finalité : les données de contact et de suivi suivent les durées prospect ou client ci-dessus. Les historiques, sauvegardes et données techniques propres aux services dépendent de leurs réglages et conditions ; ces paramètres n’ont pas tous été vérifiés. |
| Données Google Analytics 4 | Réglages vérifiés le 7 octobre 2026 : conservation des données d’événement de 2 mois et des données utilisateur de 14 mois. La réinitialisation de la durée lors d’une nouvelle activité utilisateur est activée : elle renouvelle la période de conservation des données utilisateur concernées. Ces durées sont distinctes de la durée de vie des cookies. Les rapports agrégés peuvent relever de règles différentes. |
| Choix relatifs aux cookies | La référence de réexamen des choix est, en principe, de 6 mois. La durée effectivement appliquée par Complianz et les traceurs associés dépend des réglages, qui restent à contrôler ; aucune durée de configuration n’est présentée ici comme vérifiée. |
11. SÉCURITÉ
HermIAflow met en œuvre des mesures techniques et organisationnelles adaptées à la nature des données, aux finalités et aux risques identifiés. Elles peuvent notamment comprendre la limitation des accès, l’authentification renforcée lorsque disponible, la gestion des habilitations, la protection des comptes, la mise à jour des outils, la sauvegarde lorsque pertinente et la sensibilisation aux bonnes pratiques.
Aucun système ne pouvant garantir une sécurité absolue, HermIAflow réévalue les mesures applicables et traite les incidents conformément aux obligations légales.
12. DROITS DES PERSONNES
Dans les conditions prévues par le RGPD, chaque personne peut demander :
- l’accès à ses données personnelles ;
- la rectification de données inexactes ou incomplètes ;
- l’effacement de ses données ;
- la limitation du traitement ;
- l’opposition à un traitement fondé sur l’intérêt légitime ;
- la portabilité des données lorsque les conditions sont réunies ;
- le retrait du consentement à tout moment, sans remettre en cause la licéité du traitement antérieur ;
- des informations sur les garanties applicables aux transferts internationaux ;
- de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou similaires significatifs, lorsque ce droit est applicable.
La personne peut également définir des directives relatives au sort de ses données après son décès dans les conditions prévues par le droit français.
13. EXERCICE DES DROITS ET RÉCLAMATION
Les demandes peuvent être adressées à : contact@hermiaflow.com ou 352 allée Jean-François Champollion, 13920 Saint-Mitre-les-Remparts, France.
HermIAflow peut demander des informations complémentaires ou un justificatif d’identité uniquement lorsqu’il existe un doute raisonnable sur l’identité du demandeur. HermIAflow répond dans les meilleurs délais et, en principe, dans un délai d’un mois suivant la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre des demandes ; la personne est informée de cette prolongation et de ses motifs dans le premier mois.
En cas de difficulté non résolue, la personne peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), notamment depuis le site https://www.cnil.fr.
14. DONNÉES TRAITÉES POUR LE COMPTE DES CLIENTS
Lorsqu’HermIAflow traite des données personnelles pour le compte d’un Client, notamment dans le cadre d’une automatisation, d’une intégration, de la création d’un site internet, de tests, de l’exploitation technique ou de la maintenance, le Client agit en principe comme responsable du traitement et HermIAflow comme sous-traitant pour les traitements concernés. Lorsque le Client est lui-même sous-traitant, HermIAflow intervient comme sous-traitant ultérieur ; les autorisations, les instructions et les informations relatives au responsable du traitement final sont précisées conformément au RGPD Client et à sa fiche projet.
Ces traitements sont obligatoirement encadrés, avant leur commencement, par le RGPD Client — Annexe RGPD HermIAflow V2.0 du 6 octobre 2026, sa fiche projet et les instructions documentées du Client. Cet accord prévaut pour les questions de protection des données. Les personnes concernées doivent en priorité exercer leurs droits auprès du Client responsable du traitement. HermIAflow l’assiste dans la mesure prévue au contrat.
15. COOKIES ET TRACEURS
Les informations relatives aux cookies, à leurs finalités, à leur durée et à la gestion du consentement figurent dans la Politique de cookies d’HermIAflow. Lors des tests en navigation privée du 7 octobre 2026, aucun cookie GA4 « _ga » / « _ga_… » n’a été observé avant tout choix ni après un refus initial ; ces cookies étaient présents après acceptation. Après acceptation puis retrait via « Gérer le consentement » et « Refuser », les catégories Complianz concernées sont passées de « allow » à « deny », tandis que les cookies GA4 déjà déposés restaient visibles. Après rechargement, une requête Google Analytics « collect » a été observée avec notamment « gcs=G100 », « pscdl=denied » et « npa=1 », signalant un état de consentement refusé. Ce constat ne correspond pas à une mesure Analytics avec consentement accordé et ne démontre pas l’absence de traitement ou d’échange avec Google après retrait. La bannière Complianz propose « Accepter », « Refuser » et « Voir les préférences » et mémorise le refus. Ces constats sont limités aux observations effectuées lors de ces tests.
16. MISE À JOUR DE LA POLITIQUE
La présente politique peut être mise à jour afin de tenir compte de l’évolution du site, des outils utilisés, des traitements ou du cadre juridique. La date de dernière mise à jour figure en première page.