Politique de confidentialité

En bref

1. Qui est responsable de vos données

Le responsable du traitement est YODAZ, société à responsabilité limitée immatriculée au RCS de Paris sous le numéro 989 450 010 (adresse du siège dans les mentions légales), représentée par David Sarabia, gérant.

Pour toute question sur vos données : david@yodaz.fr.

YODAZ n’a pas désigné de délégué à la protection des données : son activité ne l’y oblige pas. C’est David Sarabia qui répond aux demandes.

2. Les données que je traite, et pourquoi

2.1 Le formulaire de demande d’accompagnement

Données : votre priorité et la taille de votre entreprise ; votre prénom, votre e-mail professionnel et le nom de votre entreprise (obligatoires) ; l’adresse de votre site, quelques mots sur votre projet, votre numéro de téléphone et la façon dont vous m’avez connu (facultatifs). S’y ajoutent automatiquement la date et l’heure, la page depuis laquelle vous avez envoyé la demande, le sujet transmis par le bouton d’une page de service, l’emplacement du bouton utilisé, la phrase composée sur la page d’accueil si vous l’avez utilisée et, si vous venez de faire le test du Score Visibilité IA, votre score, votre niveau et vos priorités ; si vous venez d’utiliser un autre outil automatique de la rubrique Outils, son nom et le résumé de son résultat. Ces résultats vous sont montrés dans le formulaire avant l’envoi, et vous pouvez les retirer. Enfin, une empreinte chiffrée de votre adresse IP, votre pays de connexion et l’identifiant de votre navigateur (voir la section 2.12).

Pourquoi : vous répondre, étudier votre demande (en consultant votre site si vous en indiquez l’adresse), vous adresser une proposition d’accompagnement chiffrée, puis assurer le suivi de votre demande. Si vous laissez un numéro de téléphone, il ne sert qu’à vous recontacter au sujet de cette demande.

Base légale : les mesures précontractuelles prises à votre demande (article 6.1.b du RGPD). Pour le suivi commercial après l’envoi de ma proposition, par exemple un e-mail sur une offre liée à votre activité : mon intérêt légitime (article 6.1.f), auquel vous pouvez vous opposer à tout moment, sans avoir à vous justifier.

Ce qui se passe techniquement : à l’envoi, un programme hébergé chez Cloudflare (un « Worker ») vérifie que la demande ne vient pas d’un robot, puis l’enregistre dans une base de données Cloudflare D1 située dans l’Union européenne. Il m’en envoie ensuite une copie par e-mail : le message part de l’adresse site@yodaz.fr, par les serveurs d’o2switch, et arrive dans ma boîte david@yodaz.fr, hébergée elle aussi chez o2switch.

Durée : 3 ans au plus après notre dernier échange. La base supprime automatiquement les demandes arrivées à échéance, et je supprime aussi les e-mails correspondants de ma messagerie. Les envois bloqués par le champ piège ne sont pas enregistrés.

2.2 Le Score Visibilité IA et son rapport détaillé

Le score, les priorités et le rapport détaillé sont calculés dans votre navigateur, à partir de vos seules réponses, et s’affichent à l’écran : rien ne m’est envoyé, et aucune adresse e-mail n’est demandée. Je ne reçois ni vos réponses ni votre score.

Vos réponses restent dans votre navigateur le temps de la visite (voir la section 8), pour retrouver votre rapport si vous rechargez la page, ou si vous avez commencé le test sur la page d’accueil. Si vous envoyez ensuite une demande d’accompagnement, votre score, votre niveau et vos trois priorités y sont joints (section 2.1) : vous les voyez dans le formulaire avant l’envoi, et vous pouvez les retirer. Vos réponses détaillées, elles, ne sont jamais envoyées.

Le score est un calcul automatique, mais il ne produit aucun effet juridique et ne décide de rien à votre place : ce n’est pas une décision automatisée au sens de l’article 22 du RGPD.

L’ancien formulaire du rapport : jusqu’au 7 octobre 2026, le rapport détaillé se demandait avec une adresse e-mail. Ce formulaire a été retiré. Si une demande arrive encore par ce biais, depuis une ancienne version de la page gardée par un navigateur, elle suit le même circuit et la même durée de conservation que les demandes d’accompagnement (section 2.1) : votre e-mail, l’adresse de votre site, votre métier et votre ville s’ils sont indiqués, vos réponses et le résultat calculé. Elle ne sert qu’à traiter cette demande (article 6.1.b du RGPD) ; la réponse affichée vous indique que le rapport se lit désormais à l’écran.

2.3 Le calculateur « Ce que vaut 1 point »

Le calcul et son détail se font dans votre navigateur, sur la page d’accueil : rien n’est envoyé, et aucune adresse e-mail n’est demandée. L’ancien formulaire « Recevoir l’analyse détaillée » a été retiré le 7 octobre 2026 ; une demande qui arriverait encore par ce biais suivrait les règles de l’ancien formulaire du rapport du Score (section 2.2), avec votre e-mail et les hypothèses saisies.

2.4 Le Compteur Zéro-Clic, le Déclic IA, le Budget à rebours et le Tri des pages non indexées

Ces quatre outils de la rubrique Outils font tout leur calcul dans votre navigateur et ne demandent aucune adresse e-mail. Le Compteur Zéro-Clic lit dans votre navigateur l’export de la Search Console que vous y déposez : le fichier n’est jamais envoyé, et ni vos requêtes, ni vos pages, ni vos chiffres ne me parviennent. Le lien « Radiographier » d’une page de votre export ouvre la Radiographie IA avec l’adresse de cette page déjà saisie, sans rien envoyer : elle ne part que si vous lancez l’analyse (section 2.5). Le Déclic IA ne télécharge depuis yodaz.fr que sa bibliothèque de cas d’usage : vos réponses ne quittent pas votre navigateur. Le Budget à rebours garde dans votre navigateur les chiffres que vous saisissez (objectif, marge, taux de signature, coût par clic) : ils ne me parviennent pas. Le Tri des pages non indexées lit dans votre navigateur les exports de la Search Console que vous y déposez (rapport « Indexation des pages » et, si vous l’ajoutez, l’export Performances), ou les adresses que vous collez : ni les fichiers ni les adresses ne sont envoyés. Son lien « Vérifier cette page » ouvre la Radiographie IA avec l’adresse déjà saisie, sans rien envoyer : elle ne part que si vous lancez l’analyse (section 2.5). Si vous demandez ensuite un accompagnement, le résumé de leur résultat peut y être joint ; vous le voyez dans le formulaire et vous pouvez le retirer (sections 2.1 et 8). Pour le Déclic IA, ce résumé contient aussi un code de résultat (vos réponses, codées, sans aucune donnée personnelle), qui me permet de rouvrir le même résultat ; pour le Budget à rebours, il reprend vos principaux chiffres (objectif, clients à trouver, coûts maximaux, enveloppe), sans donnée personnelle ; pour le Tri des pages non indexées, c’est un résumé chiffré du tri (nombre d’adresses, part jugée normale, motifs principaux, CMS), sans aucune adresse.

2.5 La Radiographie IA

La Radiographie IA ne demande aucune adresse e-mail : son résultat s’affiche à l’écran.

Données : l’adresse du site ou de la page que vous saisissez.

Ce qui se passe : pour lire ce site à votre place, l’outil passe par le serveur de yodaz.fr (un Worker Cloudflare). Il vérifie le nom de domaine auprès du résolveur DNS public de Cloudflare, puis lit des fichiers publics de ce site : la page, /robots.txt, /llms.txt, au besoin /sitemap.xml ; la page est demandée deux fois, en se présentant comme OAI-SearchBot, le robot de recherche de ChatGPT, puis comme un navigateur. Le site analysé voit deux visites venant du réseau de Cloudflare, signées yodaz.fr : Cloudflare ajoute l’en-tête « CF-Worker » à ces appels.

Pourquoi : vous montrer ce que les robots des IA ont le droit de lire sur ce site, et ce qu’ils en voient.

Base légale : mon intérêt légitime à vous fournir l’outil que vous utilisez et à le protéger contre les abus (article 6.1.f du RGPD).

Ce que je conserve : rien en base. L’adresse analysée n’est pas journalisée ; le résultat reste 10 minutes dans le cache du réseau de Cloudflare, rangé sous une empreinte de l’adresse analysée et de votre adresse IP (vous seul pouvez le retrouver), puis disparaît. Pour limiter les abus, une empreinte chiffrée de votre adresse IP sert à compter les analyses ; elle est effacée au bout de 48 heures au plus. Comme pour les formulaires, le nombre d’analyses est limité par adresse IP (section 2.12).

Le brief pour votre prestataire est créé dans votre navigateur (copie ou fichier .md) : rien n’est envoyé. Si vous demandez ensuite un accompagnement, le résumé du résultat, adresse du site analysé comprise, peut y être joint, avec vos priorités, le CMS détecté et, si vous l’avez indiqué, votre rôle (dirigeant, marketing, prestataire web) ; vous le voyez dans le formulaire et vous pouvez le retirer (sections 2.1 et 8).

2.6 Le Décodeur de devis web

Le Décodeur de devis web ne demande aucune adresse e-mail : son résultat s’affiche à l’écran.

Vos devis : les fichiers que vous déposez (PDF, Word, OpenDocument ou texte) et le texte que vous collez sont lus dans votre navigateur : ils ne sont envoyés à aucun serveur et ne sont pas enregistrés. Seuls la liste des points contrôlés et, si vous déposez un PDF, le lecteur pdf.js sont téléchargés depuis yodaz.fr.

La vérification du prestataire, facultative : elle ne part que si vous la demandez. Seul le numéro SIREN (ou SIRET) que vous saisissez est alors envoyé au serveur de yodaz.fr (un Worker Cloudflare), qui interroge l’API Recherche d’entreprises de l’État (DINUM), puis, après votre confirmation, le BODACC (DILA). Ces sources publiques ne reçoivent que ce numéro, jamais rien sur vous. L’outil affiche la dénomination, la commune du siège et des faits publics (état, date de création, activité, procédures collectives publiées) ; jamais la liste des dirigeants ni une adresse de rue.

Pourquoi : vous aider à lire le devis de votre futur site avant de signer, et à vérifier que le prestataire existe et qu’il est en activité.

Base légale : mon intérêt légitime à vous fournir l’outil que vous utilisez et à le protéger contre les abus (article 6.1.f du RGPD).

Ce que je conserve : rien en base. Le numéro vérifié n’est pas journalisé ; la réponse reste 10 minutes au plus dans le cache du réseau de Cloudflare, rangée sous une empreinte de ce numéro et de votre adresse IP (vous seul pouvez la retrouver), puis disparaît. Pour limiter les abus, une empreinte chiffrée de votre adresse IP sert à compter les vérifications ; elle est effacée au bout de 48 heures au plus (section 2.12).

Si vous demandez ensuite un accompagnement, un résumé du résultat (nombre de points, coût sur 4 ans, type de projet) peut y être joint ; il ne contient ni le nom du prestataire ni son numéro, et vous le voyez dans le formulaire et pouvez le retirer (sections 2.1 et 8).

2.7 Les Clés du site

Les Clés du site ne demandent aucune adresse e-mail : le résultat s’affiche à l’écran.

Données : l’adresse du site que vous saisissez.

Ce qui se passe : l’outil passe par le serveur de yodaz.fr (un Worker Cloudflare). Il interroge des sources publiques, qui ne reçoivent que le nom du site analysé, jamais rien sur vous : le registre de son nom de domaine (l’Afnic pour le .fr, Verisign pour le .com…) et, pour certaines extensions, le registrar, par le protocole RDAP ; le résolveur DNS public de Cloudflare ; le service de Team Cymru, interrogé par ce même résolveur, pour le réseau de l’adresse IP du site. Il lit enfin la page d’accueil du site une fois, comme un navigateur : le site analysé voit une visite venant du réseau de Cloudflare, signée yodaz.fr (en-tête « CF-Worker »).

Ce qui n’est jamais affiché : les données d’une personne physique, même quand un registre les publie (nom, adresse, téléphone, e-mail) : le titulaire s’affiche alors « une personne physique », sans son nom. Ni les jetons de vérification ni les adresses de rapport publiés dans le DNS.

Pourquoi : vous montrer qui semble détenir les clés de votre site (nom de domaine, DNS, hébergement, e-mails, plateforme, statistiques) et ce qu’il faut récupérer avant de changer de prestataire.

Base légale : mon intérêt légitime à vous fournir l’outil que vous utilisez et à le protéger contre les abus (article 6.1.f du RGPD).

Ce que je conserve : rien en base. L’adresse analysée n’est pas journalisée ; le résultat reste 10 minutes dans le cache du réseau de Cloudflare, rangé sous une empreinte de l’adresse analysée et de votre adresse IP (vous seul pouvez le retrouver), puis disparaît. Pour limiter les abus, une empreinte chiffrée de votre adresse IP sert à compter les analyses ; elle est effacée au bout de 48 heures au plus (section 2.12). Vos réponses aux questions de l’outil et les cases que vous cochez restent dans votre navigateur.

Si vous demandez ensuite un accompagnement, le résumé du résultat (site analysé, prestataires repérés, statuts des clés) peut y être joint ; vous le voyez dans le formulaire et vous pouvez le retirer (sections 2.1 et 8).

2.8 Le Test du client prudent

Le Test du client prudent ne demande aucune adresse e-mail : le résultat s’affiche à l’écran.

Données : l’adresse de votre site, votre métier et vos réponses (rénovation énergétique, dépannage, type de clients), votre numéro SIRET ou SIREN si vous le donnez, et, si vous le voulez, l’adresse d’une page de votre site.

Ce qui se passe : l’outil passe par le serveur de yodaz.fr (un Worker Cloudflare). Il lit votre page d’accueil et deux pages au plus du même site, comme un navigateur (le site voit des visites venant du réseau de Cloudflare, signées yodaz.fr, en-tête « CF-Worker »), après avoir vérifié l’adresse par le résolveur DNS public de Cloudflare. Il interroge deux sources publiques, qui ne reçoivent que le numéro SIRET ou SIREN, jamais rien sur vous : l’API Recherche d’entreprises de l’État (DINUM), sans les dirigeants, les finances ni l’adresse, et la liste des entreprises RGE de l’ADEME, sans téléphone ni e-mail. Sans numéro saisi, il utilise celui qu’il lit sur votre site.

Ce qui n’est jamais affiché : le nom d’une personne physique (celui d’un entrepreneur individuel reste masqué), une dénomination de société qui pourrait contenir le nom d’une personne, ni le texte de votre site.

Pourquoi : vous montrer ce qu’un client prudent trouve sur votre entreprise et votre site, et ce qui manque pour votre métier.

Base légale : mon intérêt légitime à vous fournir l’outil que vous utilisez et à le protéger contre les abus (article 6.1.f du RGPD).

Ce que je conserve : rien en base. Ni l’adresse ni le numéro ne sont journalisés ; le résultat reste 10 minutes dans le cache du réseau de Cloudflare, rangé sous une empreinte de votre saisie et de votre adresse IP (vous seul pouvez le retrouver), puis disparaît. Une empreinte chiffrée de votre adresse IP sert à compter les tests ; elle est effacée au bout de 48 heures au plus (section 2.12). Les cases que vous cochez ne sont gardées nulle part : elles disparaissent quand vous quittez la page.

Si vous demandez ensuite un accompagnement, un résumé du résultat (métier, taille de l’entreprise, règles appliquées, points non trouvés, sans aucun nom ni numéro) peut y être joint ; vous le voyez dans le formulaire et vous pouvez le retirer (sections 2.1 et 8).

2.9 La Carte d’identité de marque

La Carte d’identité de marque ne demande aucune adresse e-mail : le résultat s’affiche à l’écran.

Données : l’adresse du site que vous saisissez et, si vous les indiquez, le nom de la marque et le numéro SIREN de la société qui la porte.

Ce qui se passe : l’outil passe par le serveur de yodaz.fr (un Worker Cloudflare). Il lit la page d’accueil du site et ses mentions légales, comme un navigateur, après avoir vérifié l’adresse par le résolveur DNS public de Cloudflare : le site analysé voit une visite venant du réseau de Cloudflare. Il interroge des sources publiques, qui ne reçoivent que le nom de la marque, l’adresse du site ou un numéro SIREN (celui d’une entreprise ; pour un entrepreneur individuel, une donnée publique du répertoire), jamais rien sur vous : l’API Recherche d’entreprises de l’État (DINUM), sans les dirigeants ni les finances, et les services de la Wikimedia Foundation (Wikidata, Wikipédia, Wiktionnaire).

Ce qui n’est jamais affiché : le nom d’une personne physique (entrepreneur individuel, personne qui porte le même nom que la marque sur Wikidata), les dirigeants, les finances, une adresse de rue ou un téléphone, même quand une source les publie. Pour une société que l’outil vous propose (« Est-ce bien vous ? ») ou dont vous saisissez le SIREN, une dénomination qui pourrait contenir le nom d’une personne n’est pas affichée, ni sa commune ; celle de la société dont le site publie lui-même le SIREN reste affichée, puisque le site l’affiche déjà.

Pourquoi : vous montrer ce que disent de votre marque votre site, le registre et Wikidata, les écarts entre eux, et vous donner le bloc de données Organization à coller sur votre site.

Base légale : mon intérêt légitime à vous fournir l’outil que vous utilisez et à le protéger contre les abus (article 6.1.f du RGPD).

Ce que je conserve : rien en base. L’adresse, le nom et le SIREN ne sont pas journalisés ; le résultat reste 10 minutes dans le cache du réseau de Cloudflare, rangé sous une empreinte de votre saisie et de votre adresse IP (vous seul pouvez le retrouver), puis disparaît. Pour limiter les abus, une empreinte chiffrée de votre adresse IP sert à compter les analyses ; elle est effacée au bout de 48 heures au plus (section 2.12).

Si vous demandez ensuite un accompagnement, un résumé du résultat (domaine, élément Wikidata, données Organization, nombre d’écarts, nom ambigu ou non) peut y être joint ; il ne contient ni nom de personne ni numéro SIREN, et vous le voyez dans le formulaire et pouvez le retirer (sections 2.1 et 8).

2.10 Les e-mails que vous m’envoyez

Données : votre adresse e-mail, votre nom s’il apparaît, le contenu du message et ses pièces jointes.

Pourquoi : vous répondre. Base légale : mon intérêt légitime à répondre aux messages reçus (article 6.1.f), ou les mesures précontractuelles si vous me demandez une proposition (article 6.1.b).

Durée : 3 ans au plus après notre dernier échange.

2.11 Si nous travaillons ensemble

Vos données sont alors traitées pour exécuter notre contrat (article 6.1.b) et respecter mes obligations comptables et fiscales (article 6.1.c). C’est le cas dès que vous acceptez ma proposition. Les factures et pièces comptables sont conservées 10 ans, comme l’exige l’article L123-22 du Code de commerce.

2.12 La protection contre les robots

Les formulaires et les outils qui interrogent le serveur sont protégés par un champ piège invisible pour les humains et par une limite du nombre d’envois par adresse IP (empreinte chiffrée, voir ci-dessous). Aucun service de vérification anti-robot n’est chargé aujourd’hui ; si j’en active un, cette section sera mise à jour avant sa mise en service. Le Test du client prudent et la Carte d’identité de marque ont en plus un plafond global, tous visiteurs confondus, du nombre d’analyses par heure : ce compteur ne contient rien sur vous.

Base légale : mon intérêt légitime à protéger le site et ma messagerie contre le spam (article 6.1.f).

Ce que je conserve de mon côté : avec chaque demande, j’enregistre une empreinte chiffrée de votre adresse IP, le pays de connexion et l’identifiant de votre navigateur (en-tête « User-Agent »), pour limiter les abus. Cette empreinte reste une donnée personnelle (pseudonymisée). Celle qui sert à compter les envois est effacée au bout de 48 heures au plus ; les autres suivent la durée de conservation de la demande. Votre adresse IP n’est jamais enregistrée en clair dans la base.

2.13 L’hébergement et les journaux techniques

Comme tout site, yodaz.fr reçoit à chaque visite des informations techniques : adresse IP, page demandée, date et heure, type de navigateur. Elles sont traitées par Cloudflare, qui héberge le site, pour le servir, le sécuriser et bloquer les attaques.

Base légale : mon intérêt légitime à faire fonctionner et sécuriser le site (article 6.1.f).

Le programme des formulaires et des outils (le Worker) produit aussi des journaux techniques : requêtes reçues sur les adresses des formulaires et des outils, envois refusés (champ piège rempli, trop d’envois), erreurs. Pour la Radiographie IA et Les Clés du site, le journal ne note que l’issue de l’analyse, sa durée et le nombre d’appels, jamais l’adresse analysée ; pour le Décodeur de devis web, il ne note jamais le numéro vérifié ; pour le Test du client prudent, ni l’adresse ni le numéro ; pour la Carte d’identité de marque, ni l’adresse, ni le nom, ni le numéro. Ils servent uniquement à détecter les pannes et les abus.

Durée : Cloudflare conserve les journaux du Worker 7 jours au plus (documentation de Cloudflare sur les journaux des Workers).

2.14 La mesure d’audience, sans cookie

J’utilise Cloudflare Web Analytics pour savoir combien de pages sont vues, d’où viennent les visiteurs (site référent, pays) et à quelle vitesse les pages s’affichent. Un petit script, chargé depuis static.cloudflareinsights.com, transmet ces informations à Cloudflare à chaque page vue.

Selon Cloudflare, cet outil n’utilise aucun état côté client, comme les cookies ou le stockage local du navigateur, et ne prend pas l’empreinte numérique des visiteurs à partir de leur adresse IP, de leur navigateur ou de toute autre donnée (présentation de Cloudflare Web Analytics). Je ne vois que des chiffres agrégés : il m’est impossible de savoir qui vous êtes.

Base légale : mon intérêt légitime à connaître l’audience de mon site et ses performances (article 6.1.f du RGPD).

Pourquoi aucun consentement ne vous est demandé : cette mesure reste dans le cadre que la CNIL dispense de consentement. Elle sert uniquement à mesurer l’audience de yodaz.fr, pour mon seul compte ; elle ne produit que des statistiques anonymes ; je ne recoupe ces statistiques avec aucun autre traitement et je ne les transmets à personne ; elle ne permet pas de suivre votre navigation sur d’autres sites (CNIL, solutions pour les outils de mesure d’audience). Elle ne dépose, en outre, aucun cookie.

Vous opposer à cette mesure : il suffit de bloquer le script de static.cloudflareinsights.com dans votre navigateur, par exemple avec un bloqueur de contenus. Le site fonctionne exactement de la même façon.

Durée : selon Cloudflare, le détail des pages vues est gardé 7 jours, puis réduit à un échantillon d’environ 10 % ; les statistiques restent consultables sur les six derniers mois (questions fréquentes de Cloudflare Web Analytics).

3. Ce que je ne fais pas

• Je ne vends, ne loue ni n’échange vos données.
• Je n’utilise ni publicité ciblée, ni pixel de réseau social, ni Google Analytics, ni reCAPTCHA.
• Les formulaires du site ne vous inscrivent à aucune lettre d’information.
• Je ne prends aucune décision automatisée qui vous concerne.

4. Qui a accès à vos données

Moi seul, David Sarabia, pour les demandes de contact. Si nous travaillons ensemble, les membres de mon équipe qui interviennent sur votre projet n’accèdent qu’aux informations nécessaires à ce projet.

Mes prestataires techniques (sous-traitants), qui traitent les données pour mon compte et selon mes instructions :

Certains outils interrogent aussi des sources publiques, qui ne sont pas mes prestataires et ne reçoivent jamais rien sur vous. Les Clés du site interrogent le registre du nom de domaine analysé (l’Afnic pour le .fr, Verisign pour le .com…) et, pour certaines extensions, le registrar, ainsi que le service de Team Cymru (réseau de l’adresse IP du site) : ils ne reçoivent que le nom du site analysé. La vérification facultative du Décodeur de devis web interroge l’API Recherche d’entreprises (DINUM) et le BODACC (DILA), qui ne reçoivent que le numéro SIREN du prestataire. Le Test du client prudent interroge l’API Recherche d’entreprises (DINUM) et la liste des entreprises RGE de l’ADEME, qui ne reçoivent que le numéro SIRET ou SIREN. La Carte d’identité de marque interroge l’API Recherche d’entreprises (DINUM) et les services de la Wikimedia Foundation (Wikidata, Wikipédia, Wiktionnaire), qui ne reçoivent que le nom de la marque, l’adresse du site ou un numéro SIREN. La Radiographie IA, Les Clés du site, le Test du client prudent et la Carte d’identité de marque lisent aussi les pages publiques du site analysé (sections 2.5, 2.7, 2.8 et 2.9).

Pour nos échanges en visio, l’outil utilisé est convenu avec vous.

Vos données peuvent enfin être communiquées à une autorité qui les demande dans un cadre légal.

5. Transferts hors de l’Union européenne

Cloudflare, Inc. est une société américaine. Les données qui passent par son réseau (visites, formulaires, outils, mesure d’audience) peuvent donc être traitées hors de l’Union européenne. La base de données des formulaires, elle, a été créée dans la juridiction Union européenne de Cloudflare : vos demandes y sont stockées dans l’Union européenne.

Ces transferts sont encadrés :

• Cloudflare est certifiée au cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework), reconnu par la décision d’adéquation de la Commission européenne du 10 juillet 2023 (politique de confidentialité de Cloudflare) ;
• Cloudflare agit pour mon compte comme sous-traitant, dans le cadre de son contrat de traitement des données (Data Processing Addendum), qui comprend les clauses contractuelles types de la Commission européenne (contrat de traitement des données de Cloudflare).

Comme toute société américaine, Cloudflare peut recevoir des demandes d’autorités américaines. C’est une raison de plus pour laquelle je ne collecte que le strict nécessaire.

La Wikimedia Foundation, interrogée par la Carte d’identité de marque, est située aux États-Unis : elle ne reçoit que le nom de la marque, l’adresse du site ou un numéro SIREN, jamais rien sur vous.

La messagerie, hébergée chez o2switch, reste en France.

6. Sécurité

• Tout le site est servi en HTTPS.
• La base de données n’est accessible que par le programme des formulaires et par moi, depuis mon compte Cloudflare.
• Les adresses IP ne sont jamais enregistrées en clair : la base n’en garde qu’une empreinte chiffrée.
• Les e-mails de notification partent par une connexion chiffrée vers les serveurs d’o2switch.
• Les formulaires ne demandent que le strict nécessaire, et aucun champ ne demande de donnée sensible.

7. Vos droits

Vous pouvez, à tout moment :

• accéder à vos données et en obtenir une copie ;
• les faire rectifier si elles sont inexactes ;
• les faire effacer ;
• vous opposer à leur utilisation, en particulier pour la prospection, sans avoir à vous justifier ;
• en demander la limitation ;
• les récupérer dans un format courant (portabilité), pour celles que vous m’avez fournies ;
• définir des directives sur leur sort après votre décès.

Comment : écrivez à david@yodaz.fr. Je réponds dans un délai d’un mois, comme le prévoit le RGPD. Je ne vous demande une pièce d’identité qu’en cas de doute raisonnable sur votre identité.

Réclamation : si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL, en ligne sur cnil.fr/fr/plaintes, ou par courrier : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

8. Cookies et traceurs

Ce site ne dépose aucun cookie publicitaire ni de mesure d’audience. La mesure d’audience, anonyme, se fait sans cookie (Cloudflare Web Analytics, voir la section 2.14). C’est pourquoi le site n’affiche pas de bandeau de consentement : il n’y a rien à accepter.

Quelques éléments techniques peuvent toutefois être lus ou enregistrés dans votre navigateur. Ils sont strictement nécessaires au fonctionnement ou à la sécurité du site, ou gardent un choix que vous avez fait, et sont donc dispensés de consentement :

• Les cookies de sécurité de Cloudflare. Selon la configuration de sécurité, Cloudflare peut déposer par exemple « __cf_bm » (détection des robots, expire après 30 minutes d’inactivité) ou « cf_clearance » (après une vérification réussie) (liste des cookies de Cloudflare).
• Votre choix de mettre les animations en pause. Sur la page d’accueil, si vous mettez les animations en pause, ce choix est gardé dans votre navigateur (stockage local), sans aucune donnée personnelle, pour être respecté lors de votre prochaine visite.
• Vos réponses et le résultat du Score Visibilité IA. Vos réponses aux 10 questions sont gardées dans votre navigateur le temps de la visite (stockage de session), pour afficher votre rapport détaillé, y compris si vous rechargez la page ou si vous avez commencé le test sur la page d’accueil ; elles ne sont jamais envoyées. Votre score, votre niveau et vos priorités y sont aussi gardés, pour être joints à votre demande d’accompagnement si vous en envoyez une ensuite : rien n’est envoyé tant que vous n’envoyez pas ce formulaire. Le tout s’efface quand vous fermez l’onglet.
• Le résultat d’un outil automatique. Quand vous utilisez un outil de la rubrique Outils, le résumé de son résultat peut être gardé dans votre navigateur (stockage local), 7 jours au plus, pour être joint à votre demande d’accompagnement si vous en envoyez une. Il s’affiche dans le formulaire, vous pouvez le retirer, et il est effacé après l’envoi. Certains outils y ajoutent des réponses proposées pour ce formulaire (votre priorité, la taille de votre entreprise, quelques mots sur votre projet) : elles ne remplissent que les champs encore vides, restent modifiables, et ne partent que si vous envoyez le formulaire. Passé 7 jours, il n’est plus utilisé et il est effacé à votre visite suivante. Rien n’est envoyé tant que vous n’envoyez pas ce formulaire.

Les polices de caractères sont hébergées sur yodaz.fr : aucun appel n’est fait à Google Fonts. Le petit script de mesure d’audience de Cloudflare se charge depuis static.cloudflareinsights.com, sans déposer de cookie. Aucune vidéo, carte ou agenda tiers n’est chargé automatiquement. Si un tel service est ajouté plus tard, il ne se chargera qu’après votre clic, et cette page sera mise à jour.

Vous pouvez à tout moment supprimer ou bloquer les cookies dans les réglages de votre navigateur. Le site restera lisible ; seule la protection des formulaires pourra vous demander une vérification supplémentaire.

9. Modifications

Je mets cette page à jour quand le site change, par exemple si un nouvel outil est ajouté. La date de dernière mise à jour figure ci-dessous. Les mentions légales du site sont sur la page mentions légales.

Dernière mise à jour : 8 octobre 2026.