Mis à jour le 28 août 2026
Politique de confidentialité
Version applicable à la période de bêta privée.
Responsable de traitement : Alexandre Ribes, entrepreneur individuel exerçant sous le nom commercial La Boîte à Code, SIRET 840 048 680 00051 (voir mentions légales). Contact données personnelles : Coordonnée protégée, activez JavaScript pour l’afficher. Aucun délégué à la protection des données n'est désigné à la date de la présente politique ; ce contact reçoit les demandes relatives aux données personnelles.
Quiet Metrics porte deux casquettes distinctes, traitées séparément ci-dessous : sous-traitant pour la mesure d'audience réalisée pour le compte de ses clients, et responsable de traitement pour les données de ses propres clients et visiteurs.
1. Visiteurs des sites mesurés par Quiet Metrics
Quiet Metrics est un outil de mesure d'audience sans cookie d'identification ni de traçabilité : ses outils de mesure ne déposent sur l'appareil du visiteur aucun identifiant, aucun cookie de mesure et aucune empreinte persistante, et aucune donnée directement identifiante n'est conservée dans les statistiques. Deux choses seulement peuvent être écrites chez le visiteur d'un site mesuré, et elles n'obéissent pas au même régime : le marqueur d'exclusion qm_ignore, posé à la demande de la personne pour faire cesser la mesure et jamais transmis à Quiet Metrics, et le cookie de continuité de visite qm_visit, posé par la mesure pendant dix minutes glissantes pour qu'un changement de réseau en cours de visite ne fasse pas compter deux fois la même personne. Ni l'un ni l'autre ne contient d'identifiant, leur valeur étant la même chez tout le monde, et le second n'est jamais posé chez une personne qui s'est exclue. Les pages publiques de Quiet Metrics mémorisent par ailleurs, après action de l'utilisateur, deux préférences locales non identifiantes (thème choisi et fermeture de la note d'information). L'ensemble est détaillé dans la politique de cookies.
Concrètement : l'adresse IP et la signature du navigateur transitent dans une file chiffrée à durée bornée (15 minutes cible, moins de 2 heures pour un job définitivement échoué), puis servent quelques millisecondes en mémoire au calcul d'une empreinte pseudonyme éphémère. Elles ne sont pas enregistrées dans les tables de mesure. Cette empreinte ne porte pas sur l'adresse complète mais sur le réseau de l'abonné : l'adresse entière en IPv4, et en IPv6 le seul préfixe /64, les 64 bits restants identifiant l'interface de la machine. Ce qui est observé est donc plus grossier que l'adresse reçue. Sans le sel quotidien, détruit après sa période de grâce, il est impossible de relier une empreinte à une personne ou aux jours suivants : pas de suivi dans le temps, pas de profil. Le procédé complet est décrit sur comment nous comptons.
Le responsable de traitement de la mesure d'audience d'un site est l'éditeur de ce site ; Quiet Metrics agit comme sous-traitant (art. 28 RGPD) selon l'accord de sous-traitance. Pour exercer vos droits sur la mesure d'un site que vous avez visité, adressez-vous à l'éditeur de ce site. Compte tenu de la conception du service (aucune donnée identifiante conservée), Quiet Metrics est généralement dans l'impossibilité de ré-identifier un visiteur (art. 11 RGPD).
2. Titulaires d'un compte Quiet Metrics
Pour fournir le service, nous traitons :
| Données | Finalité | Base légale | Durée |
|---|---|---|---|
| Compte (nom, e-mail, mot de passe haché, langue) | Fourniture du service | Exécution du contrat | Vie du compte + période de réversibilité de 30 jours |
| Profil contractuel (statut consommateur ou professionnel ; nom légal, SIRET et numéro de TVA pour les professionnels) | Formation du contrat, facturation et détermination des règles applicables | Mesures précontractuelles et exécution du contrat | Vie du compte puis délais comptables et probatoires applicables |
| Preuves contractuelles (versions et dates d'acceptation, début de contrat, essai et éventuelle rétractation) | Formation, exécution et preuve du contrat | Exécution du contrat puis intérêt légitime à la défense des droits | Durée du contrat puis archivage probatoire jusqu'à 5 ans |
| Facturation (coordonnées, historique, factures) | Facturation, comptabilité | Obligation légale | 10 ans (pièces comptables) |
| E-mails de service (rapports par site, alertes de quota, fin d'essai) | Fourniture du service | Exécution du contrat | Vie du compte |
| Échanges support | Assistance | Exécution du contrat | 3 ans |
| Journaux d'authentification, d'administration et de sécurité (identifiant du compte, date, action, adresse IP lorsque nécessaire) | Sécurisation du Service, détection des abus et preuve des incidents | Intérêt légitime à sécuriser le Service | 6 à 12 mois, sauf nécessité documentée liée à un incident ou contentieux |
| Personne invitée à un compte (nom, adresse e-mail) | Lui permettre d'accepter l'invitation puis d'accéder au compte qui l'invite | Intérêt légitime du titulaire à ouvrir l'accès de son compte à son équipe | Vie du siège : supprimée au retrait par le titulaire, au départ du membre, ou à la fermeture du compte |
Le paiement par carte est traité par Stripe : les données de carte ne transitent jamais par nos serveurs. Stripe collecte les coordonnées de facturation, le nom légal de l'entreprise et, lorsqu'il est applicable, son identifiant fiscal. Aucune prospection commerciale n'est réalisée sans votre accord ; les e-mails de service se limitent au fonctionnement du compte, et les rapports périodiques se désactivent site par site.
3. Visiteurs de quietmetrics.dev
Nous ne mesurons pas l'audience des pages publiques du site, pas même avec notre propre produit : aucun script d'analyse n'y est chargé, et il ne s'y dépose ni cookie de mesure ni empreinte de visiteur.
La page contact recueille le nom, l'adresse e-mail, le sujet et le message saisis volontairement. Ces données ne sont pas enregistrées dans la base applicative : elles sont transmises par e-mail à l'Éditeur, sur une boîte hébergée par Proton (§ 4), afin de répondre à la demande, sur la base des mesures précontractuelles, de l'exécution du contrat ou de l'intérêt légitime à traiter les sollicitations selon leur nature. Les échanges sont conservés dans la boîte de messagerie pendant 3 ans.
Cette page, ainsi que le formulaire d'inscription, charge Cloudflare Turnstile pour empêcher les envois et les créations de comptes automatisés. Cloudflare traite à cette fin des signaux techniques tels que l'adresse IP, l'en-tête User-Agent, l'empreinte TLS, la clé du widget et son origine. Ces signaux servent à distinguer les humains des robots et non à la publicité ou à la mesure d'audience. Le jeton obtenu est vérifié côté serveur avant chaque envoi ; il expire rapidement et n'est utilisable qu'une fois. Voir l'addendum de confidentialité Turnstile.
4. Hébergement, destinataires et sous-traitants
Les données du service sont hébergées en France et ne sont ni vendues, ni louées, ni partagées à des fins commerciales.
| Sous-traitant | Rôle | Intervient pour | Localisation |
|---|---|---|---|
| OVH SAS | Hébergement de la plateforme et des données | § 1, § 2 et § 3 | France (UE) |
| Stripe Payments Europe / Stripe Inc. | Paiement et facturation | § 2 | UE / États-Unis ; transferts encadrés (clauses contractuelles types et cadre de conformité en vigueur) |
| Proton AG | Messagerie : acheminement des e-mails de service et des confirmations de commande, et réception des messages adressés au contact et au support | § 2 et § 3 | Suisse, pays reconnu adéquat par la Commission européenne |
| Cloudflare, Inc. | Protection anti-robot des formulaires de contact et d'inscription (Turnstile) | § 3 | États-Unis ; traitement encadré par le DPA et les garanties de transfert de Cloudflare |
Ce tableau réunit deux qualifications distinctes, selon la casquette concernée. Seul OVH intervient dans la mesure d'audience réalisée pour le compte des clients (§ 1) : il est à ce titre le seul sous-traitant ultérieur au sens de l'article 28 du RGPD, et le seul inscrit au tableau du § 6 de l'accord de sous-traitance. Les autres prestataires n'interviennent que sur les traitements dont Quiet Metrics est responsable de traitement (§ 2 et § 3) ; ils ne reçoivent aucune donnée à caractère personnel des visiteurs des sites mesurés.
Avant l'activation d'une fonctionnalité d'assistance par IA ou d'un serveur MCP impliquant un prestataire externe, le prestataire retenu, sa finalité, la localisation du traitement, la durée de conservation et les garanties de transfert sont ajoutés au tableau ci-dessus et portés à la connaissance du titulaire du compte. Aucune donnée de visiteur ne doit lui être transmise sans instruction documentée du Client et mise à jour préalable du DPA. Si le Client configure son propre fournisseur d'IA et sa clé d'API, ce traitement relève de son accord avec ce fournisseur.
5. Sécurité
Chiffrement TLS de tout le trafic, payloads de collecte chiffrés et rapidement purgés, clés secrètes chiffrées au repos, mots de passe hachés, accès restreints et journalisés, pseudonymisation par empreinte éphémère pour la mesure (voir DPA : annexe mesures techniques). L'ouverture commerciale est conditionnée à la mise en place de sauvegardes chiffrées hors serveur et à une restauration testée.
6. Ce que nous ne faisons pas
Pas de profilage, pas de décision entièrement automatisée produisant des effets juridiques, pas de croisement entre sites clients, pas de publicité, pas de revente de données.
7. Vos droits
Selon le traitement et sa base légale, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Écrivez à Coordonnée protégée, activez JavaScript pour l’afficher : réponse dans le délai légal, en principe un mois. Une preuve d'identité n'est demandée qu'en cas de doute raisonnable sur l'identité du demandeur. Les titulaires de compte peuvent exporter leurs statistiques à tout moment en CSV. L'accès par API est réservé aux plans Pro et Agence. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
8. Mise à jour
La présente politique peut évoluer ; la date de mise à jour figure en tête. Les modifications substantielles sont notifiées aux titulaires de compte.