Politique de confidentialité
Dernière mise à jour : 10 octobre 2026
Sommaire
1. Qui traite vos données
Le responsable du traitement est Tossea Zata EI, dont le siège est situé 2 bis avenue de la Division Leclerc 95170 Deuil-la-Barre.
Pour toute question sur vos données : bonjour@zatalabs.com.
2. Le principe que nous appliquons
Nous ne collectons que ce qui sert à une finalité précise, et nous l'effaçons quand cette finalité disparaît. Concrètement, cela nous a conduits à supprimer des données que nous collections sans usage : les adresses IP associées aux conversations avec l'assistant ne sont plus enregistrées, parce qu'elles n'étaient plus lues par aucun traitement.
Nous ne vendons aucune donnée, nous ne faisons pas de publicité ciblée, et nous n'utilisons aucun traceur publicitaire ni aucun outil de mesure tiers.
3. Ce que nous collectons, et pourquoi
Si vous créez un compte
| Donnée | Pourquoi | Base légale |
|---|---|---|
| Nom | Vous identifier et vous adresser correctement | Exécution du contrat |
| Adresse e-mail | Connexion, confirmation du compte, réinitialisation du mot de passe | Exécution du contrat |
| Mot de passe | Protéger l'accès. Il est haché en argon2id : nous ne pouvons pas le lire | Exécution du contrat |
| Société, téléphone | Facultatifs. Gérer vos échanges et votre projet | Mesures précontractuelles ou exécution du contrat ; leur caractère facultatif ne constitue pas à lui seul un consentement |
Si vous demandez un devis
| Donnée | Pourquoi | Base légale |
|---|---|---|
| Nom, e-mail | Vous répondre | Mesure précontractuelle |
| Société, téléphone, budget, échéance | Facultatifs. Cadrer la proposition | Mesure précontractuelle |
| Description du projet | Comprendre votre besoin | Mesure précontractuelle |
| Fichiers joints, lien de partage | Facultatifs, réservés aux comptes dont l'adresse e-mail est vérifiée. Photos, vidéos ou documents utiles au projet. Stockés dans un espace de stockage situé dans l'Union européenne, accessibles au seul studio | Mesure précontractuelle |
| Adresse IP | Détecter les envois automatisés abusifs. Effacée au bout de 30 jours, la demande étant conservée | Intérêt légitime |
Quand vous naviguez
Notre mesure d'audience est facultative et soumise à votre consentement. Nous enregistrons les pages consultées avec une empreinte calculée à partir de votre adresse IP, de votre navigateur et de la date du jour. Le calcul est une pseudonymisation : ces données ne sont pas présentées comme anonymes. L'adresse IP brute n'est pas enregistrée dans le tableau des visites.
Parce que la date entre dans le calcul, la même personne produit une empreinte différente d'un jour à l'autre. Nous pouvons donc compter les visiteurs distincts d'une journée. Aucun identifiant de compte n'est ajouté aux nouvelles visites. Vous pouvez refuser ou retirer votre accord depuis vos préférences de cookies.
Du site qui vous a envoyé chez nous, nous ne gardons que le nom de domaine
(par exemple google.com) et jamais l'adresse complète, qui peut
contenir vos termes de recherche.
Quand vous vous connectez
Nous enregistrons l'adresse IP et le navigateur associés à votre session, pour vous permettre de repérer une connexion que vous ne reconnaissez pas. Ces informations disparaissent à l'expiration de la session.
Un journal de sécurité conserve les connexions, les échecs de connexion et les modifications de compte, avec l'adresse IP correspondante. Il sert à détecter une tentative d'intrusion.
4. L'assistant conversationnel et l'analyse automatisée
L'assistant
Les messages que vous écrivez à l'assistant sont transmis à Anthropic, qui fournit le modèle de langage, et conservés chez nous pour que vous puissiez reprendre la conversation.
N'écrivez pas d'informations sensibles à l'assistant : données de santé, informations bancaires, ou tout élément confidentiel. Un formulaire de devis est plus approprié pour décrire un projet, et la conversation transite par un prestataire tiers.
L'analyse des demandes de devis
Votre demande peut être résumée automatiquement pour aider notre équipe à la traiter. Ce résumé produit un avis : complexité estimée, points à clarifier, suite suggérée.
Aucune décision n'est prise automatiquement. L'avis est affiché à une personne, qui décide seule. Il ne s'agit donc pas d'une décision individuelle automatisée au sens de l'article 22 du RGPD. Vous pouvez demander à ce que votre demande ne fasse l'objet d'aucune analyse automatisée.
Transfert hors de l'Union européenne
Anthropic est établie aux États-Unis. Les messages envoyés à l'assistant et les demandes de devis soumises à l'analyse font donc l'objet d'un transfert hors de l'Union européenne, qui doit être encadré par une garantie prévue au chapitre V du RGPD. Les modalités applicables au service utilisé et les garanties contractuelles sont à vérifier dans les accords de traitement conclus avec le prestataire ; vous pouvez demander des précisions ou une copie des garanties à notre contact données personnelles.
Cloudflare et Stripe appartiennent à des groupes américains : les données qu'ils traitent pour le site peuvent donc, elles aussi, être transférées hors de l'Union européenne, dans le cadre des garanties prévues par leurs contrats de traitement des données.
5. Combien de temps nous conservons
Les principales durées applicatives ci-dessous sont mises en œuvre par une purge périodique. Les documents contractuels et comptables ainsi que les copies de sauvegarde suivent leurs propres obligations et cycles de conservation.
| Donnée | Durée | Pourquoi cette durée |
|---|---|---|
| Compte | Jusqu'à suppression | Vous seul décidez |
| Demandes de devis en cours | Jusqu'à clôture | Traitement en cours |
| Demandes closes ou refusées | 3 ans après clôture ou refus | Suivi des échanges commerciaux ; ce délai n'est pas présenté comme une prescription légale générale |
| Fichiers joints aux demandes | Comme la demande | Effacés avec elle ; ceux d'un projet ouvert rejoignent le projet |
| Adresse IP des demandes | 30 jours | Au-delà, elle ne sert plus à rien |
| Conversations avec l'assistant | 6 mois | Reprise d'échange |
| Sessions | 30 jours | Durée de connexion |
| Journal de sécurité | 1 an | Détection d'incident |
| Mesure d'audience facultative | 365 jours par défaut | Comparaison de la fréquentation ; consentement retirable |
| Choix de cookies | 180 jours | Mémoriser l'accord comme le refus, puis renouveler la demande |
| Liens de confirmation | 24 h à 7 jours | Usage unique |
6. Qui y a accès
En interne, l'accès est limité par un système de permissions : un éditeur qui gère le contenu du site n'accède pas aux demandes de devis ni aux comptes.
À l'extérieur, cinq prestataires, chacun limité à ce que son rôle exige :
- Cloudflare (États-Unis) — tout le trafic du site passe par son réseau, qui voit donc votre adresse IP et les pages demandées. Cloudflare stocke aussi les fichiers des projets et les pièces jointes aux demandes, dans un espace situé dans l'Union européenne, ainsi que les sauvegardes de la base, chiffrées avant envoi : Cloudflare ne peut pas les lire ;
- Brevo (France) — envoi des e-mails du site : votre nom, votre adresse e-mail et le contenu des messages que le site vous adresse ;
- Stripe — paiement en ligne depuis l'espace client : votre adresse e-mail, la référence et l'intitulé de la commande ou du contrat, le montant. Vos données de carte sont saisies directement chez Stripe : nous ne les recevons jamais ;
- Anthropic (États-Unis) — messages de l'assistant et demandes soumises à analyse ;
- Google Fonts — les pages du site utilisent des polices hébergées par nos soins et ne contactent pas Google. Seules les démonstrations de la rubrique Réalisations (sites d'entreprises fictives) chargent encore leurs polices chez Google Fonts : en ouvrir une transmet votre adresse IP à Google.
7. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.
Pour les exercer, écrivez à bonjour@zatalabs.com. Nous répondons en principe sous un mois. Si la complexité ou le nombre de demandes le justifie, ce délai peut être prolongé de deux mois : nous vous en informons dans le premier mois. Une preuve d'identité proportionnée peut être demandée en cas de doute raisonnable.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL.
8. Comment nous protégeons ces données
Les droits s'appliquent selon leur base légale : l'opposition concerne notamment l'intérêt légitime, la portabilité les traitements automatisés fondés sur le consentement ou le contrat. Retirer un consentement n'affecte pas la licéité des traitements antérieurs. Certaines données doivent rester conservées pour respecter une obligation légale ou défendre un droit.
Contrats, factures et échanges commerciaux
Les coordonnées de facturation, devis acceptés, contrats et références de paiement servent à exécuter la prestation et à respecter les obligations comptables et fiscales. Les pièces comptables doivent être conservées dix ans à compter de la clôture de l'exercice. Les autres pièces nécessaires à la défense de droits sont archivées pour la durée applicable à leur finalité. Ces archives ne sont pas effacées par les seules purges des conversations ou demandes de devis.
Les informations obligatoires sont indiquées dans chaque formulaire ; sans elles, la demande ou le service correspondant ne peut pas être traité. Les autres champs sont facultatifs. L'envoi d'une demande n'est pas un abonnement à une newsletter. Une éventuelle prospection nécessitant votre accord doit faire l'objet d'un choix distinct, facultatif et non précoché.
- Mots de passe hachés en argon2id — ils ne sont jamais stockés en clair ni récupérables ;
- Liens de confirmation stockés sous forme d'empreinte : une fuite de la base ne permettrait pas de prendre la main sur un compte ;
- Sessions révocables immédiatement, cookies inaccessibles au JavaScript ;
- Protection contre les requêtes falsifiées et limitation du nombre de tentatives ;
- Accès à la base par un compte aux droits restreints, jamais un compte administrateur.
Aucun système n'est parfaitement sûr. En cas de violation présentant un risque pour vos droits, nous informerons la CNIL sous 72 heures et vous préviendrons directement si le risque est élevé.