Politique de confidentialité

4.1 De quels outils s'agit-il

Il s'agit de deux composants fournis par Vercel Inc., le prestataire qui héberge et distribue ce site : @vercel/analytics (Vercel Web Analytics) et @vercel/speed-insights (Vercel Speed Insights). Le premier comptabilise les visites des pages ; le second mesure la vitesse de chargement des pages dans votre navigateur.

4.2 Pourquoi ils sont actifs sans consentement, et comment nous sommes parvenus à ce choix

Nous vous exposons la situation telle qu'elle est, car c'est cette transparence — et non un bouton — qui constitue la garantie que nous vous offrons sur ce niveau.

Les règles européennes relatives aux traceurs (l'art. 5(3) de la directive ePrivacy et les dispositions nationales qui la transposent — en France l'art. 82 de la loi n° 78-17 du 6 janvier 1978 dite « Informatique et Libertés ») prévoient, dans certains États, une dispense de consentement pour la seule mesure statistique d'audience d'un site, lorsqu'elle est strictement limitée, ne sert à profiler personne et n'est pas partagée avec des tiers à d'autres fins.

Avant la mise en ligne du site, nous avons vérifié si ces deux outils relèvent de cette dispense dans les cinq marchés où nous opérons (Italie, France, Allemagne, Espagne et le reste de l'Union européenne). Cette vérification n'a pas abouti à une réponse univoque : les positions des autorités nationales ne concordent pas et aucune d'entre elles ne s'est prononcée sur ces outils en particulier.

Nous précisons ce point sans ambiguïté pour la France : nous ne revendiquons aucune dispense reconnue par la CNIL au titre de ces deux outils, nous ne nous prévalons d'aucune solution figurant sur une liste de solutions de mesure d'audience établie par la CNIL, et nous n'avons procédé à aucune auto-certification en ce sens. Nous n'affirmons pas que la CNIL considérerait ces outils comme dispensés de consentement.

Face à un résultat incertain, nous avons choisi de les maintenir actifs — car ils servent à mesurer la qualité technique du site sur l'ensemble des visiteurs, et non sur un échantillon — et de le déclarer ici de façon explicite et complète, plutôt que de vous présenter comme acquise une question qui ne l'est pas. La présente section est exactement ce choix.

Nous n'invoquons pas l'intérêt légitime comme base légale de ce traitement : la position que nous adoptons est celle décrite ci-dessus, à savoir qu'il s'agit d'une mesure d'audience dispensée de consentement, et nous la présentons pour ce qu'elle est — une position motivée, et non une certitude. La décision, avec ses motifs développés, est consignée dans notre documentation interne (ADR-20260731-site-measurement-consent-posture).

Si vous estimez que ce traitement ne devrait pas vous concerner, écrivez-nous à {{TITOLARE_EMAIL_PRIVACY}} : nous examinerons votre demande.

4.3 Aucun cookie et aucun stockage sur votre terminal

Aucun de ces deux outils n'installe de cookie ni n'inscrit de données dans votre navigateur.

Dans la documentation technique publiée par Vercel pour Web Analytics (« Privacy and Compliance », https://vercel.com/docs/analytics/privacy-policy, version du 26 juin 2026), nous lisons, textuellement :

«Vercel Web Analytics allows you to track your website traffic and gather valuable insights without using any third-party cookies, instead end users are identified by a hash created from the incoming request.»

«The lifespan of a visitor session is not stored permanently, it is automatically discarded after 24 hours.»

En français : les visiteurs ne sont pas reconnus au moyen de cookies, mais au moyen d'un code dérivé (hash) calculé à partir de la requête entrante, lequel est automatiquement supprimé au bout de 24 heures. Vercel ne publie pas quelles données exactes entrent dans le calcul de ce code, et nous ne l'affirmons pas à sa place : nous rapportons ce que Vercel déclare et nous vous en indiquons la source afin que vous puissiez la consulter directement.

Pour Speed Insights, la documentation de Vercel (« Vercel Speed Insights Privacy & Compliance », https://vercel.com/docs/speed-insights/privacy-policy, version du 18 mars 2026) indique :

«we've designed it in such a way that it provides you with information without being tied to, or associated with, any individual visitor or IP address.»

«The recording of data points is anonymous and the Speed Insights feature does not collect or store information that would enable us to reconstruct a browsing session across pages or identify a user.»

Speed Insights ne décrit aucune étape d'identification du visiteur.

4.4 Quelles données sont collectées

Les deux tableaux ci-dessous reprennent les informations qui, selon la documentation Vercel citée ci-dessus, accompagnent chaque mesure.

Vercel Web Analytics :

Vercel Speed Insights :

Nous n'utilisons pas la fonctionnalité d'événements personnalisés et nous ne transmettons à Vercel ni adresses électroniques, ni noms, ni identifiants d'utilisateur, ni aucune autre donnée vous concernant personnellement.

4.5 Qui traite ces données et où

Vercel Inc. est un prestataire établi aux États-Unis, qui agit en qualité de sous-traitant pour notre compte (art. 28 du RGPD) et qui recourt lui-même à ses propres sous-traitants ultérieurs.

La relation est régie par le Data Processing Addendum de Vercel (https://vercel.com/legal/dpa), lequel déclare : «Vercel's primary processing facilities are in the United States» et, pour les transferts depuis l'Espace économique européen, «the Standard Contractual Clauses will apply». Le transfert vers les États-Unis intervient donc sur le fondement des clauses contractuelles types adoptées par la Commission européenne (art. 46(2)(c) du RGPD), incorporées dans cet addendum.

4.6 Pendant combien de temps

Le code dérivé qui identifie une session de visite est automatiquement supprimé au bout de 24 heures, ainsi que Vercel le déclare dans le passage cité au point 4.3. Les données statistiques qui en résultent sont conservées sous forme agrégée et ne permettent pas de remonter à une personne déterminée.

5.1 De quels outils s'agit-il, et à quel consentement répondent-ils

Deux catégories de consentement, indépendantes l'une de l'autre : en accepter une n'active jamais l'autre.

La catégorie marketing gouverne en outre les identifiants de clic publicitaire (gclid, fbclid, msclkid) : lorsque vous arrivez sur le site depuis une annonce, votre adresse peut contenir l'un de ces codes. Il n'est transmis à l'application que si vous avez accordé le consentement marketing ; à défaut de consentement, il est supprimé et n'est pas propagé.

5.2 Comment le blocage fonctionne techniquement

À l'ouverture de toute page, le premier script du document déclare l'ensemble des signaux de consentement comme refusés (denied) : analytics_storage, ad_storage, ad_user_data, ad_personalization. À partir de cet instant, rien ne peut s'activer tant que vous n'avez pas exprimé de choix.

Les scripts de Google et de Meta ne sont pas présents dans la page et ne sont pas téléchargés : ils ne sont demandés qu'au moment où vous accordez votre consentement, et uniquement celui de la catégorie accordée. Il ne s'agit pas d'outils chargés puis mis en sourdine : avant le consentement, ils n'existent pas dans la page.

5.3 Comment donner, modifier et retirer votre consentement

Le choix s'exprime depuis la bannière qui s'affiche lors de la première visite. Vous pouvez tout accepter, tout refuser ou choisir catégorie par catégorie.

Vous pouvez changer d'avis à tout moment depuis le lien permanent « Gérer les préférences cookies », présent dans le pied de page de chaque page du site : il rouvre le même panneau et le nouveau choix remplace le précédent. Retirer son consentement est aussi simple que de le donner.

Le retrait vaut pour l'avenir : il interrompt l'envoi de nouvelles données, mais ne remet pas en cause la licéité du traitement déjà effectué sur le fondement du consentement précédemment donné (art. 7(3) du RGPD).

Les informations relatives à la conservation de votre choix et aux cookies déposés après le consentement figurent dans la Politique cookies.

5.4 Base légale

Votre consentement, au sens de l'art. 6(1)(a) du RGPD et de l'art. 5(3) de la directive ePrivacy tel que transposé dans votre pays — en France, l'art. 82 de la loi Informatique et Libertés. Le consentement est recueilli par catégorie et conservé avec la preuve du moment où il a été exprimé et de la version de la bannière sur laquelle il l'a été.

5.5 Qui traite ces données et où

Google. Google Analytics 4 est fourni par Google, qui agit en qualité de sous-traitant pour notre compte sur le fondement des Google Ads Data Processing Terms (https://business.safety.google/adsprocessorterms/), lesquels mentionnent expressément « Google Analytics » parmi les Processor Services et incorporent les clauses contractuelles types pour les transferts vers des pays tiers.

Meta. Le pixel est fourni par Meta Platforms Ireland Limited. Pour les données collectées au moyen des Business Tools de Meta, nous et Meta agissons en qualité de responsables conjoints du traitement au sens de l'art. 26 du RGPD, conformément au Controller Addendum incorporé aux Meta Business Tools Terms (https://www.facebook.com/legal/controller_addendum). La responsabilité conjointe porte sur la collecte des données sur le site et leur transmission à Meta ; les traitements que Meta effectue ensuite pour ses propres finalités sont régis par la politique de confidentialité de Meta et relèvent de sa seule responsabilité.

Ces deux fournisseurs sont susceptibles de traiter les données également en dehors de l'Espace économique européen : voir la section 8.

5.6 Pendant combien de temps

Les durées de conservation des données collectées au moyen de Google Analytics 4 et du pixel Meta sont déterminées par les paramétrages et les conditions des fournisseurs respectifs. La conservation de votre choix de consentement sur votre terminal est décrite dans la Politique cookies.