Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est Christophe LENG, auto-entrepreneur en débosselage sans peinture, immatriculé au RCS de Créteil sous le numéro 982 551 319 (SIRET : 982 551 319 00014), siège social 38 Rue Verte, 94400 Vitry-sur-Seine. Contact DPO (Délégué à la Protection des Données) : christophe.cl@outlook.com.

2. Données collectées

2.1 Données collectées via le formulaire de devis

Lorsque vous remplissez le formulaire de devis sur la landing page, nous collectons :

• Nom et prénom (obligatoire)
• Email (obligatoire)
• Téléphone (obligatoire)
• Ville / code postal (obligatoire, pour évaluer la zone d'intervention)
• Marque et modèle du véhicule (facultatifs, avec listes de suggestions)
• Précisions facultatives sur le véhicule et le dommage (année, immatriculation, nombre de bosses, type de tôle, type de bosse)
• Description du dommage (obligatoire)
• Photos de la bosse (facultatif : 4 photos maximum, 5 Mo au total)
• URL de la page de provenance (automatique, pour analytics)

2.2 Données collectées via WhatsApp Business

Lorsque vous contactez Christophe LENG via WhatsApp :

• Numéro de téléphone (obligatoire)
• Nom WhatsApp (obligatoire)
• Messages et photos échangés (conservation 12 mois max)
• Date et heure des échanges (automatique)

2.3 Données collectées via paiement Stripe

Lorsque vous payez sur place le jour de l'intervention (paiement intégralement après service rendu, aucun acompte à l'avance) :

• Email (obligatoire, pour reçu)
• Nom sur la carte (obligatoire)
• Montant et date de la transaction (automatique)
• Numéro de transaction Stripe (automatique)

Important : Les données bancaires (numéro de carte, CVV, date d'expiration) ne sont jamais stockées par Christophe LENG. Elles sont traitées directement par Stripe, prestataire de paiement certifié PCI-DSS Level 1. Voir la page paiement sécurisé pour le détail.

2.4 Données collectées via cookies

Voir la section 6 "Cookies" ci-dessous.

2.5 Données traitées par les protections anti-spam des formulaires

Pour lutter contre le spam et les robots, les formulaires de ce site utilisent deux protections complémentaires (mises en place en septembre 2026) :

• Cloudflare Turnstile (mode « Managed ») : une case à cocher « Confirmer que vous êtes humain » est affichée avant le bouton d'envoi de chaque formulaire. Au moment de la vérification, des signaux techniques de votre navigateur (empreinte TLS/HTTP, adresse IP, horodatage) sont transmis à Cloudflare pour évaluer si l'envoi provient d'un humain ; le jeton qui en résulte est vérifié côté serveur, sur ce site, avant tout transfert. Le contenu de votre formulaire n'est pas transmis à Cloudflare : seuls ces signaux techniques le sont, sans aucun usage publicitaire. Voir Cloudflare Turnstile et la politique de confidentialité Cloudflare.
• Honeypot : un champ invisible, que seuls les robots remplissent, filtre les envois automatisés les plus simples, il ne collecte aucune donnée sur vous.
• [Historique] La vérification Google reCAPTCHA v3 a été retirée en septembre 2026, puis la preuve de travail ALTCHA (auto-hébergée) lui a succédé avant d'être remplacée par Turnstile : le site ne sollicite plus Google à quelque étape que ce soit de l'envoi.

3. Finalités et base légale

4. Destinataires des données

Vos données sont accessibles à :

• Christophe LENG (responsable de traitement)
• Formspree (sous-traitant, États-Unis, canal de secours pour l'acheminement des formulaires)
• Netlify (sous-traitant technique, États-Unis) : héberge le site et relaie les envois de formulaires vers notre CRM via sa fonction serveur /api/contact, les données y transitent sans y être conservées
• Google (sous-traitant, Irlande) : héberge le fichier CRM (Google Sheets) où sont enregistrées les demandes de contact et de devis (nom, coordonnées, message)
• Cloudflare (sous-traitant technique, Turnstile) : reçoit les signaux techniques de vérification anti-robot au moment de l'envoi des formulaires, jamais le contenu de vos demandes. Google reCAPTCHA a été retiré en septembre 2026 (aucun transfert vers Google)
• Calendly (sous-traitant, États-Unis, réservation de créneaux)
• Votre assureur (en cas de tiers payant, vous devez nous y autoriser)
• Expert-comptable (pour la gestion comptable, obligation légale)
• Autorités fiscales (sur demande légale, obligation légale)

Aucune donnée n'est vendue à des tiers. Aucune donnée n'est transférée hors UE/EEE sans garanties appropriées (clauses contractuelles types adoptées par la Commission européenne, décisions d'adéquation, codes de conduite approuvés).

5. Cookies

5.1 Cookies techniques (sans consentement)

Ce site n'utilise aucun cookie de suivi, aucune publicité, aucun tracker marketing. Les seuls éléments tiers déposés sont strictement techniques et exemptés de consentement (lutte contre la fraude et le spam) : aucun bandeau RGPD n'est nécessaire.

Meta Pixel (préparation des campagnes publicitaires) : un script de mesure Meta est présent sur les pages « polissage » et « parallélisme » (fichier meta-pixel.js). Il est dormant par défaut : identifiant publicitaire vide, donc aucun appel réseau, aucun dépôt de cookie, aucune donnée collectée. Il ne s'activera qu'au lancement des campagnes Facebook et Instagram, au moment où l'identifiant publicitaire du compte de l'artisan sera renseigné. À cette activation, les cookies de mesure Meta seront déposés uniquement après consentement exprès via un bandeau dédié ajouté au site, conformément au RGPD et à la doctrine CNIL sur les outils de mesure d'audience publicitaire, et la présente politique sera mise à jour.

Les seules données déposées par votre navigateur sont :

• Cache navigateur : fichiers statiques (HTML, CSS, JS, polices, images) mis en cache pour 1 an pour accélérer l'affichage. Ne contient aucune donnée personnelle.
• Storage Formspree : si vous soumettez un formulaire, Formspree dépose un cookie de session temporaire (durée : session naviguateur).
• Cloudflare Turnstile : aucun cookie sur notre domaine. Le widget peut déposer un stockage technique sur son propre domaine (challenges.cloudflare.com) pour distinguer les humains des robots, strictement nécessaire à la lutte contre la fraude (exempté de consentement), sans usage publicitaire. Le cookie _GRECAPTCHA de Google n'est plus déposé depuis septembre 2026 (reCAPTCHA retiré).
• Storage Calendly : si vous réservez un créneau, Calendly dépose un cookie de session (durée : session navigateur).

5.2 Gestion des cookies

Vous pouvez à tout moment purger le cache et les cookies de votre navigateur via :

• Les paramètres de votre navigateur (Chrome, Firefox, Safari, Edge)
• Les plateformes tierces : YourOnlineChoices.com

6. Droits RGPD

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir une copie de vos données
• Droit de rectification (art. 16) : corriger des données inexactes
• Droit à l'effacement (art. 17) : demander la suppression de vos données
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré
• Droit d'opposition (art. 21) : refuser le traitement pour motif légitime
• Droit d'introduire une réclamation auprès de la CNIL

Pour exercer ces droits, écrivez à christophe.cl@outlook.com en précisant "Demande RGPD" dans l'objet. Vous recevrez une réponse sous 30 jours maximum. Une pièce d'identité peut vous être demandée pour vérifier votre identité.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : https://www.cnil.fr/fr/plaintes.

7. Sécurité

Christophe LENG met en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :

• Chiffrement TLS 1.3 (HTTPS) pour toutes les communications
• Hébergement chez un hébergeur certifié ISO 27001
• Sauvegardes chiffrées quotidiennes
• Mots de passe complexes et gestionnaire de mots de passe
• Authentification à deux facteurs (2FA) sur tous les comptes administrateurs
• Formation RGPD du responsable de traitement
• Audit de sécurité annuel
• Mise à jour automatique des outils et plugins

8. Transferts hors UE

Certains sous-traitants (Formspree, Calendly, Netlify) sont situés aux États-Unis. Ces transferts sont encadrés par :

• Clauses contractuelles types adoptées par la Commission européenne (décision 2021/914)
• Data Privacy Framework (EU-US DPF) pour les entreprises certifiées
• Évaluation d'impact sur la protection des données (AIPD) réalisée pour chaque sous-traitant hors UE

9. Mise à jour de la politique

La présente politique de confidentialité peut être mise à jour à tout moment pour refléter les évolutions réglementaires ou les pratiques de Christophe LENG. La date de dernière mise à jour est indiquée en bas de cette page. Nous vous recommandons de consulter cette page régulièrement.