Politique de confidentialité

1. Préambule

La présente politique de confidentialité décrit comment Ultiris Studio (ci-après « le site ») traite les données à caractère personnel collectées dans le cadre de la consultation et de l’utilisation de ses services, conformément au Règlement général sur la protection des données (RGPD — Règlement UE 2016/679) et à la loi Informatique et Libertés modifiée.

Le responsable de traitement est l’éditeur du site, dont l’identité est connue de l’hébergeur (voir Mentions légales). Le site étant un projet personnel à but non lucratif, aucun délégué à la protection des données (DPO) n’est désigné, cette désignation n’étant pas obligatoire dans ce contexte.

2. Données collectées et finalités de traitement

Le site limite strictement les données collectées à ce qui est nécessaire à son fonctionnement. Le détail des traitements est le suivant :

2.1 Formulaire de contact

• Données collectées : nom (ou pseudonyme), adresse email, contenu du message, adresse IP au moment de l’envoi, horodatage.
• Finalité : recevoir et répondre à votre demande.
• Base légale : consentement (art. 6.1.a RGPD) — manifesté par la soumission volontaire du formulaire.
• Durée de conservation : le message est traité par email puis effacé du serveur web après envoi. Les emails reçus dans la boîte de l’éditeur sont conservés au maximum 12 mois à compter de votre dernière interaction, sauf obligation légale contraire.
• Destinataires : uniquement l’éditeur du site et son hébergeur de messagerie (voir §3).

2.2 Sécurité — limitation des envois de messages

• Données collectées : adresse IP et horodatage de chaque envoi via le formulaire de contact.
• Finalité : empêcher l’envoi massif automatisé (spam) en limitant le nombre de messages par IP et par heure.
• Base légale : intérêt légitime (art. 6.1.f RGPD) — assurer la disponibilité du service et lutter contre les abus.
• Durée de conservation : 7 jours maximum, purge automatique en base.

2.3 Sécurité — authentification administrateur

• Données collectées : identifiant saisi, adresse IP, agent utilisateur (navigateur), horodatage et résultat (succès/échec) de chaque tentative de connexion à l’interface d’administration.
• Finalité : détecter et bloquer les tentatives d’intrusion ou de force brute.
• Base légale : intérêt légitime (art. 6.1.f RGPD) — sécurité du système d’information.
• Durée de conservation : 30 jours maximum, purge automatique.
• Destinataires : uniquement l’éditeur du site. Ces données ne concernent que les personnes tentant de se connecter à l’interface d’administration.

2.4 Vérification anti-robot (le cas échéant)

• Données collectées : en cas d’activation du service Cloudflare Turnstile sur le formulaire de contact, votre adresse IP et certaines caractéristiques techniques de votre navigateur sont transmises à Cloudflare pour valider que vous n’êtes pas un robot.
• Finalité : protéger le formulaire contre les soumissions automatisées.
• Base légale : intérêt légitime (art. 6.1.f RGPD) — sécurité et disponibilité du service.
• Durée de conservation : aucune conservation sur nos serveurs ; les durées appliquées par Cloudflare sont décrites dans leur propre politique : cloudflare.com/privacypolicy .
• Destinataires : Cloudflare, Inc. (voir §4 sur les transferts hors UE).

2.5 Journaux techniques d’accès

• Données collectées : par l’hébergeur OVH, journaux d’accès au serveur web contenant adresse IP, horodatage, URL demandée, code de réponse, agent utilisateur.
• Finalité : diagnostic technique, sécurité, obligations légales de conservation.
• Base légale : obligation légale (art. 6.1.c RGPD — art. 6 II LCEN) et intérêt légitime (art. 6.1.f RGPD).
• Durée de conservation : selon les conditions générales d’OVH et l’obligation légale française de conservation des logs (jusqu’à 12 mois).

3. Destinataires et sous-traitants

Vos données ne sont jamais vendues ni cédées à des tiers à des fins commerciales. Elles peuvent être traitées par les sous-traitants suivants, strictement nécessaires au fonctionnement du service :

• OVH SAS (France, UE) — hébergement web et base de données. Voir leur politique de protection des données.
• OVH SAS (France, UE) — service d’email transactionnel utilisé pour le formulaire de contact (le cas échéant).
• Cloudflare, Inc. (États-Unis, sous DPF — voir §4) — uniquement si le service Turnstile est activé sur le formulaire de contact.

4. Transferts de données hors Union européenne

L’hébergement principal (OVH) est situé en France. Aucun transfert de données personnelles hors de l’Union européenne n’est réalisé dans le cadre du traitement standard du site.

Le service Cloudflare Turnstile, lorsqu’il est activé, peut impliquer un traitement par Cloudflare, Inc., société américaine. Ce transfert est encadré par les mécanismes prévus par le RGPD : Data Privacy Framework (DPF) UE-États-Unis, auquel Cloudflare a adhéré, et clauses contractuelles types de la Commission européenne. Pour plus d’informations, consultez la politique de confidentialité de Cloudflare.

5. Cookies et stockage local

Le site n’utilise aucun cookie de mesure d’audience, de publicité ou de traçage. Seuls sont utilisés :

• Un cookie de session strictement nécessaire (PHPSESSID / ULTIRIS_SESSID), utilisé pour la protection CSRF du formulaire et pour l’authentification de l’interface d’administration. Sa durée de vie est limitée à la session de navigation.
• Une entrée localStorage nommée ultiris-cookie-notice mémorisant que vous avez fermé la bannière d’information cookies (techniquement, ce n’est pas un cookie HTTP).

Pour plus d’informations, consultez notre politique des cookies.

6. Sécurité

Le site met en œuvre des mesures techniques raisonnables pour protéger les données : chiffrement HTTPS (TLS) de bout en bout, en-têtes de sécurité (HSTS, CSP, X-Frame-Options…), protection CSRF des formulaires, hachage des mots de passe administrateur (bcrypt), rate-limiting des connexions, journalisation des accès administrateur, authentification à deux facteurs (TOTP) disponible pour les comptes admin.

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d’accès aux données vous concernant.
• Droit de rectification des données inexactes.
• Droit à l’effacement (« droit à l’oubli »).
• Droit à la limitation du traitement.
• Droit d’opposition au traitement fondé sur l’intérêt légitime.
• Droit à la portabilité des données fournies.

Pour exercer ces droits, contactez-nous à contact@ultiris.fr ou via le formulaire de contact. Une réponse vous sera apportée dans un délai maximum d’un mois.

8. Réclamation auprès de la CNIL

Si, après nous avoir contactés, vous estimez que vos droits ne sont pas respectés, vous avez la possibilité d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) :

Site : www.cnil.fr/fr/plaintes
Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Téléphone : 01 53 73 22 22

9. Mises à jour de la présente politique

Cette politique peut être amenée à évoluer pour refléter les changements techniques, réglementaires ou organisationnels. La date de dernière mise à jour est indiquée en haut de page. Les modifications substantielles seront, le cas échéant, signalées via un bandeau d’information sur le site.