Politique de Cookies et de Données Techniques

Préambule – Définitions

Pour les besoins de la présente politique, les termes ci-dessous ont la signification suivante :

• L'Éditeur : désigne FIGADERE Lucas, entrepreneur individuel exerçant sous le nom commercial FIGA, responsable de l'exploitation des services.
• FIGA : désigne la plateforme technologique globale exploitée par l'Éditeur, incluant notamment le site internet, les applications, la base de données et les services associés.
• FIGA Pro : désigne l'application destinée aux professionnels.
• FIGA Client : désigne l'application destinée aux clients finaux.

1. Qu'est-ce qu'un cookie ?

Un cookie est un petit fichier texte déposé sur votre terminal (ordinateur, smartphone, tablette) lors de la consultation d'un site internet. La présente politique couvre également les autres technologies similaires (stockage local du navigateur, données techniques transmises lors d'une requête HTTP) lorsqu'elles sont utilisées par FIGA.

2. Cookies déposés par FIGA

FIGA dépose un nombre restreint de cookies. À l'exception de la mesure des conversions publicitaires décrite au point 2.5, qui est soumise à votre consentement préalable, ils sont tous strictement nécessaires à la fourniture du service demandé par l'utilisateur.

2.1 Cookies d'authentification (Supabase)

Lorsqu'un utilisateur se connecte à son compte, les cookies de session Supabase (préfixés sb-…-auth-token) sont déposés afin de maintenir la session ouverte et d'authentifier les requêtes ultérieures. Ces cookies sont protégés par les attributs SameSite=Lax et Secure, et leur durée de vie suit la politique de session Supabase (rafraîchissement automatique du jeton).

2.2 Cookie de redirection post-connexion

Un cookie temporaire figa_redirect_after_login peut être déposé pendant un maximum de 10 minutes afin de mémoriser l'URL vers laquelle rediriger l'utilisateur après son authentification. Il est automatiquement supprimé dès la connexion réussie.

2.3 Stockage de session local

La clé figa-intro-done est stockée dans le sessionStorage du navigateur (non transmise au serveur) afin d'éviter de rejouer l'animation d'accueil lors d'une même session de navigation. Elle est supprimée à la fermeture de l'onglet.

2.4 Cookie de consentement

Lorsque vous répondez à la bannière de consentement, votre choix (finalité par finalité) et sa date sont mémorisés dans le localStorage du navigateur sous la clé figa-consent-v3, afin de ne pas vous solliciter à nouveau lors des visites suivantes. Ce choix est conservé 6 mois, puis la bannière vous est de nouveau présentée.

Conformément à la directive ePrivacy et à la position de la CNIL, les cookies décrits aux points 2.1 à 2.4 sont strictement nécessaires au fonctionnement du service et ne nécessitent pas de consentement préalable.

2.5 Mesure des conversions publicitaires (Google Ads)

FIGA fait la promotion de son service via Google Ads. Afin de mesurer l'efficacité de ses campagnes, c'est-à-dire de savoir combien de visiteurs venus d'une annonce créent effectivement un compte ou souscrivent un abonnement, le site peut charger la balise de mesure de Google (gtag.js). Celle-ci dépose un cookie _gcl_au ainsi que, le cas échéant, des cookies apparentés (_gcl_aw, _gcl_dc) permettant de rattacher une visite au clic publicitaire dont elle provient. Google peut également déposer, depuis son domaine doubleclick.net, un cookie technique de très courte durée (test_cookie, destiné à vérifier la prise en charge des cookies par votre navigateur) et un cookie de mesure publicitaire (IDE).

Ces cookies ne sont déposés qu'après votre acceptation de la finalité « Mesure publicitaire » dans la bannière de consentement. Tant que vous n'avez pas répondu, et si vous refusez, la balise fonctionne en mode « consentement refusé » (Consent Mode v2 de Google) : dans cet état, elle n'écrit ni ne lit aucun cookie, et la fonction ads_data_redaction retire tout identifiant publicitaire des requêtes adressées à Google. Seule une mesure anonyme et agrégée, ne permettant ni de vous identifier ni de vous suivre d'un site à l'autre, est alors transmise. Votre refus est conservé et réappliqué à chacune de vos visites.

Si vous avez accepté la bannière et que vous souscrivez un abonnement, l'adresse e-mail de votre compte est transmise à Google sous forme de condensat SHA-256, calculé dans votre navigateur avant tout envoi et irréversible (fonctionnalité dite des « conversions améliorées »). Elle permet uniquement à Google de rattacher la souscription au clic publicitaire dont elle provient lorsque les cookies sont indisponibles. Aucune adresse e-mail en clair n'est transmise, et cette transmission n'a pas lieu si vous n'avez pas accepté la bannière.

Les données transmises se limitent à la mesure de la conversion (page consultée, provenance publicitaire, identifiant de clic) et sont traitées par Google Ireland Limited, agissant en qualité de responsable de traitement conjoint pour cette finalité, conformément à sa politique de confidentialité (https://policies.google.com/privacy). FIGA n'utilise pas ces données pour vous adresser de la prospection commerciale et ne transmet à Google aucune donnée de compte, de rendez-vous ou de paiement.

2.6 Mesure des conversions publicitaires (Meta : Facebook, Instagram)

FIGA fait également la promotion de son offre professionnelle sur Facebook et Instagram. Pour mesurer l'efficacité de ces campagnes, le site peut charger le pixel Meta (fbevents.js), qui dépose les cookies _fbp (identifiant de navigateur) et, si vous arrivez depuis une annonce, _fbc (identifiant du clic publicitaire).

Le pixel Meta n'est chargé qu'après votre acceptation de la finalité « Mesure publicitaire » : sans cet accord, aucun script Meta n'est chargé et aucune donnée n'est transmise à Meta. Il ne fonctionne que sur les pages de présentation de FIGA Pro et sur le parcours de création d'un compte professionnel ; il n'est jamais présent sur les pages des commerces ni sur les pages de prise de rendez-vous, et il est désactivé pour les comptes clients et collaborateurs.

Les événements mesurés sont : la consultation des pages de présentation et de la page d'abonnement, la création d'un compte professionnel, le début de l'essai gratuit et le premier paiement de l'abonnement (montant). Pour un compte professionnel connecté ayant accepté cette finalité, l'adresse e-mail et l'identifiant technique du compte sont transmis sous forme de condensat SHA-256 irréversible, accompagnés de l'adresse IP et du type de navigateur, afin que Meta puisse rattacher la conversion à l'annonce dont elle provient. Une partie de ces événements est transmise par nos serveurs (API Conversions de Meta), avec les mêmes données et sous la même condition de consentement. Aucune donnée de rendez-vous, de client des commerces, de carte bancaire ni aucune adresse e-mail en clair n'est transmise à Meta.

Ces données sont traitées par Meta Platforms Ireland Limited, responsable conjoint de traitement avec FIGA pour leur collecte et leur transmission, puis responsable de traitement pour leur traitement ultérieur, conformément à sa politique de confidentialité (https://www.facebook.com/privacy/policy/). Des transferts vers les États-Unis peuvent intervenir dans le cadre du EU-U.S. Data Privacy Framework, auquel Meta Platforms, Inc. a adhéré.

2.7 Mesure des conversions publicitaires (TikTok)

FIGA fait également la promotion de son offre professionnelle sur TikTok. Pour mesurer l'efficacité de ces campagnes, le site peut charger le pixel TikTok (events.js), qui dépose les cookies _ttp (identifiant de navigateur), _tt_enable_cookie (test de prise en charge des cookies) et ttcsid (session de mesure). Si vous arrivez depuis une annonce TikTok, FIGA conserve en outre l'identifiant du clic publicitaire dans le cookie figa_ttclid.

Le pixel TikTok obéit exactement aux mêmes règles que le pixel Meta : il n'est chargé qu'après votre acceptation de la finalité « Mesure publicitaire », ne fonctionne que sur les pages de présentation de FIGA Pro et sur le parcours de création d'un compte professionnel, n'est jamais actif sur les pages des commerces ni sur les pages de prise de rendez-vous, et est désactivé pour les comptes clients et collaborateurs. Ses fonctions de collecte automatique (contenu des pages, clics, lecture des formulaires) sont désactivées.

Les événements mesurés et les données transmises sont les mêmes que pour Meta (point 2.6) : consultation des pages de présentation et de la page d'abonnement, création d'un compte professionnel, début de l'essai gratuit et premier paiement de l'abonnement (montant), accompagnés, pour un compte professionnel connecté ayant accepté cette finalité, de l'adresse e-mail et de l'identifiant technique du compte sous forme de condensat SHA-256 irréversible, de l'adresse IP et du type de navigateur. Une partie de ces événements est transmise par nos serveurs (API Events de TikTok), sous la même condition de consentement. Aucune donnée de rendez-vous, de client des commerces, de carte bancaire ni aucune adresse e-mail en clair n'est transmise à TikTok.

Ces données sont traitées par TikTok Technology Limited (Irlande), responsable conjoint de traitement avec FIGA pour leur collecte et leur transmission, puis responsable de traitement pour leur traitement ultérieur, conformément à sa politique de confidentialité (https://www.tiktok.com/legal/privacy-policy-eea). Selon TikTok, ces données peuvent être stockées ou consultées depuis des pays situés hors de l'Espace économique européen, notamment les États-Unis, Singapour, la Malaisie et la Chine ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne.

3. Données techniques traitées sans dépôt de cookie

Lors de chaque requête vers le site, certaines données techniques sont automatiquement transmises par votre navigateur ou résolues par notre infrastructure. Elles ne sont ni vendues, ni utilisées à des fins publicitaires ou de profilage commercial.

3.1 Adresse IP et User-Agent

L'adresse IP du visiteur et l'identifiant de son navigateur (User-Agent) sont utilisés pour :

• appliquer une limitation du nombre de requêtes (rate limiting) afin de protéger le service contre les abus et attaques par déni de service ;
• identifier et bloquer les outils d'attaque automatisés connus (scanners de vulnérabilités) ;
• valider la cohérence des en-têtes HTTP (Host, Origin, Referer) pour la protection contre les attaques de type CSRF.

L'adresse IP est conservée en clair dans la mémoire vive du service de limitation de débit (Upstash Redis) pour une durée maximale de 4 heures, puis purgée automatiquement. En cas d'événement de sécurité (blocage, requête anormale), elle peut apparaître dans nos journaux techniques pour une durée limitée, conformément à la durée de rétention de notre hébergeur.

Sur les routes sensibles (création de compte, connexion, prise de rendez-vous), l'adresse IP est hachée de façon irréversible avec un sel cryptographique avant toute persistance en base, de manière à ne jamais stocker l'adresse IP en clair sur nos serveurs.

3.2 Mesure d'audience (Vercel Web Analytics et Speed Insights)

Si vous acceptez la finalité « Mesure d'audience » dans la bannière, le site fait appel aux outils de mesure d'audience et de performance de notre hébergeur Vercel (Web Analytics et Speed Insights). Ces outils :

• ne déposent aucun cookie ;
• ne conservent pas l'adresse IP des visiteurs ;
• collectent uniquement des données agrégées et anonymes (page visitée, type d'appareil, pays, indicateurs de performance Web Vitals) ;
• ne permettent pas le suivi inter-sites.

Si vous refusez cette finalité, ces outils ne sont pas chargés sur votre navigateur.

3.3 Détection anti-bot sur les formulaires sensibles

Sur les pages d'inscription, de connexion et de prise de rendez-vous, FIGA met en œuvre un dispositif de détection des comportements automatisés afin de protéger ses utilisateurs contre la fraude et la création de faux comptes. Au moment de la soumission du formulaire, sont transmis au serveur, de manière agrégée :

• des signaux d'interaction avec la page — sans le contenu des informations saisies ;
• des caractéristiques techniques de votre navigateur permettant de distinguer un usage humain d'un usage automatisé.

Ces données sont strictement nécessaires à la sécurité du service (équivalent technique d'un CAPTCHA invisible). Elles sont associées à un hachage salé de l'adresse IP et conservées de manière limitée dans le temps. Aucune de ces informations n'est utilisée à des fins commerciales, publicitaires, ou de profilage marketing.

3.4 Paiement (Stripe)

Lorsque vous initiez un paiement ou un abonnement, vous êtes redirigé vers une page hébergée par Stripe (Stripe Checkout). Aucun script Stripe n'est exécuté sur le site figa-app.com lui-même. Sur le domaine de Stripe, ce dernier dépose ses propres cookies et collecte les données techniques nécessaires à la prévention de la fraude et au traitement du paiement, conformément à sa propre politique de confidentialité (https://stripe.com/fr/privacy).

4. Sous-traitants techniques

Les données ci-dessus transitent par les prestataires techniques suivants, agissant en qualité de sous-traitants au sens du RGPD :

• Vercel Inc. — hébergement du site, mesure d'audience anonyme et indicateurs de performance.
• Upstash Inc. — limitation du débit des requêtes (rate limiting) via Redis.
• Supabase Inc. — base de données, authentification et journalisation de sécurité.
• Stripe, Inc. — uniquement sur les pages de paiement et d'abonnement.

S'y ajoutent Google Ireland Limited, Meta Platforms Ireland Limited et TikTok Technology Limited, pour la seule mesure des conversions publicitaires décrite aux points 2.5 à 2.7. Meta et TikTok n'interviennent qu'après acceptation de la finalité « Mesure publicitaire ». En l'absence d'acceptation de votre part, les échanges avec Google se limitent à une mesure anonyme, dépourvue de cookie et de tout identifiant publicitaire. Google agit pour cette finalité en qualité de responsable de traitement conjoint et non de sous-traitant.

Aucune donnée n'est vendue ni transmise à des courtiers de données. FIGA n'utilise pas Google Analytics. Les données transmises à Meta et à TikTok sont décrites aux points 2.6 et 2.7. Les données transmises à Google se limitent à la mesure des conversions publicitaires : page consultée, provenance publicitaire, identifiant de clic et, en cas d'acceptation de la bannière et de souscription d'un abonnement, adresse e-mail hachée du souscripteur. Aucune donnée de rendez-vous ni de paiement ne lui est transmise.

5. Durée de conservation

• Cookies d'authentification : durée de la session, avec rafraîchissement automatique du jeton.
• Cookie figa_redirect_after_login : 10 minutes maximum.
• Choix de consentement figa-consent-v3 : 6 mois, puis la bannière est de nouveau présentée.
• Cookies de mesure des conversions publicitaires (_gcl_*) : 90 jours maximum, et uniquement en cas d'acceptation de la bannière.
• Cookies déposés par doubleclick.net (test_cookie, IDE) : durée fixée par Google, plafonnée à 13 mois dans l'Espace économique européen, et uniquement en cas d'acceptation de la bannière.
• Cookies Meta _fbp et _fbc : 90 jours maximum, uniquement en cas d'acceptation de la finalité « Mesure publicitaire ».
• Cookies TikTok _ttp et _tt_enable_cookie : 13 mois maximum ; ttcsid : durée de la session de mesure ; figa_ttclid : 28 jours. Uniquement en cas d'acceptation de la finalité « Mesure publicitaire ».
• Données de mesure publicitaire conservées par FIGA pour un compte professionnel (identifiants _fbp/_fbc, _ttp/ttclid, adresse IP, type de navigateur) : 6 mois après leur dernière mise à jour, effacées immédiatement en cas de retrait du consentement ou de suppression du compte.
• Adresse IP dans le rate limiting : 4 heures maximum.
• Hachages d'adresse IP et événements de sécurité en base : durée limitée nécessaire à l'objectif de sécurité poursuivi.

6. Vos droits et la gestion de votre consentement

Vous pouvez à tout moment :

• modifier ou retirer votre consentement, finalité par finalité, grâce au lien « Gérer mes cookies » présent en bas de chaque page — le retrait est aussi simple que l'acceptation et prend effet immédiatement ;
• configurer votre navigateur pour accepter, refuser ou supprimer les cookies ;
• exercer vos droits d'accès, de rectification, d'effacement, de limitation et d'opposition prévus par le RGPD en écrivant à l'adresse figa.application@gmail.com.

Le refus des cookies strictement nécessaires (authentification, sécurité) peut empêcher l'utilisation de certaines fonctionnalités du service.

7. Modification de la politique cookies

FIGA se réserve le droit de modifier la présente politique à tout moment afin de se conformer à la réglementation ou à l'évolution des services. La date de dernière mise à jour est indiquée ci-dessous.