Aller au contenu

Document légal

Politique de confidentialité

Mis à jour 5 octobre 2026

Politique de confidentialité

Cette politique explique quelles données personnelles sont traitées lorsque vous utilisez le site laboiteacode.fr (ci-après le « Site ») ou lorsque vous êtes en relation avec La Boîte à Code, pourquoi, pendant combien de temps, à qui elles sont transmises et comment exercer vos droits. Elle est établie en application du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée (« loi Informatique et Libertés »).

L'essentiel

  • Le Site ne demande des données personnelles que dans deux cas : le formulaire de contact et l'estimateur de projet. Ce que vous y saisissez n'est pas enregistré dans une base de données : c'est envoyé par email.
  • La mesure d'audience est réalisée côté serveur, sans outil publicitaire ni Google Analytics, et vous pouvez vous y opposer en un clic.
  • Le Site ne dépose aucun cookie soumis à consentement : c'est pourquoi il n'affiche pas de bandeau cookies (voir la Politique de cookies).
  • Aucune donnée n'est vendue, louée ou utilisée à des fins publicitaires.

Responsable du traitement

  • Responsable du traitement : Alexandre RIBES, entrepreneur individuel (EI), exerçant sous le nom commercial « La Boîte à Code »
  • SIRET : 84004868000051
  • Adresse : 59, rue de Ponthieu, Bureau 326, 75008 Paris
  • Email :
  • Téléphone : +33 9 62 27 68 14

La Boîte à Code n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire pour son activité (article 37 du RGPD). Pour toute question relative à vos données, écrivez à .

Les traitements réalisés via le Site

1. Formulaire de contact

Page concernée : /contact.

Rubrique Détail
Données Nom (obligatoire), adresse email (obligatoire), service concerné (facultatif, choisi dans une liste), message (obligatoire). Un champ invisible sert de piège à robots et reste vide pour un humain.
Finalité Répondre à votre demande (information, devis, rendez-vous).
Base légale Mesures précontractuelles prises à votre demande (article 6.1.b du RGPD) lorsque votre demande porte sur une prestation ; à défaut, intérêt légitime de La Boîte à Code à répondre aux personnes qui la sollicitent (article 6.1.f).
Fonctionnement Le message n'est pas enregistré dans une base de données. Il est envoyé par email à la messagerie de La Boîte à Code, avec votre adresse en adresse de réponse, puis conservé dans la messagerie professionnelle de La Boîte à Code.
Durée de conservation 3 ans à compter du dernier contact de votre part, puis suppression, sauf si un contrat est conclu (voir « Clients et prospects » ci-dessous).
Destinataires Alexandre Ribes ; prestataire d'envoi d'emails (service-smtp.fr) ; fournisseur de messagerie (Proton) ; Cloudflare pour le contrôle anti-robot (voir le point 3).

La case à cocher placée sous le formulaire confirme que vous acceptez de recevoir une réponse par email. Elle ne constitue pas la base légale du traitement : sans votre demande, aucun email ne vous serait envoyé.

2. Estimateur de projet

Page concernée : /estimer-mon-projet.

Rubrique Détail
Données Caractéristiques du projet (type de projet, nombre d'écrans, options, nombre d'intégrations, délai souhaité : ces informations ne vous identifient pas), adresse email (obligatoire). Un champ invisible sert de piège à robots.
Finalité Vous envoyer le récapitulatif de votre estimation et vous recontacter à son sujet.
Base légale Mesures précontractuelles prises à votre demande (article 6.1.b du RGPD) ; à défaut, intérêt légitime (article 6.1.f).
Fonctionnement Deux emails sont envoyés : un récapitulatif à votre adresse et une notification à La Boîte à Code. Rien n'est enregistré dans une base de données.
Durée de conservation 3 ans à compter du dernier contact de votre part, puis suppression, sauf si un contrat est conclu.
Destinataires Alexandre Ribes ; prestataire d'envoi d'emails (service-smtp.fr) ; fournisseur de messagerie (Proton) ; Cloudflare pour le contrôle anti-robot.

En cochant la case prévue, vous acceptez d'être recontacté(e) par email à propos de cette estimation, et uniquement à ce sujet : votre adresse n'est pas inscrite à une liste de diffusion.

Protection contre les abus. Pour éviter qu'une même personne ou un robot n'envoie des estimations en série, le Site :

  • dépose un cookie technique estimator_requested (valeur « 1 », durée 60 minutes) après une demande ;
  • limite les demandes à 5 par période de 5 minutes et par adresse IP ;
  • limite le nombre de demandes par adresse email sur 24 heures. Pour cela, il conserve en mémoire cache une empreinte de l'adresse email (calculée par une fonction de hachage SHA-1) et non l'adresse elle-même, pendant 24 heures.

Ces mesures reposent sur l'intérêt légitime de La Boîte à Code à protéger le Site et sa messagerie (article 6.1.f du RGPD).

3. Protection anti-robot des formulaires (Cloudflare Turnstile)

Les deux formulaires ci-dessus sont protégés par Cloudflare Turnstile, un service de vérification anti-robot édité par Cloudflare, Inc. (États-Unis).

  • Quand : le script de Cloudflare (challenges.cloudflare.com) est chargé uniquement lorsque vous affichez la page de contact ou l'estimateur. Il n'est chargé sur aucune autre page du Site.
  • Données : le script analyse, depuis votre navigateur, des signaux techniques permettant de distinguer un humain d'un robot. Lorsque vous envoyez le formulaire, le serveur du Site transmet à Cloudflare le jeton de vérification produit par le script et votre adresse IP, afin de valider la demande.
  • Finalité : lutter contre le spam et les envois automatisés.
  • Base légale : intérêt légitime à sécuriser les formulaires (article 6.1.f du RGPD).
  • Transfert hors UE : Cloudflare, Inc. est établie aux États-Unis. Le transfert est encadré par la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE-États-Unis (Data Privacy Framework), auquel Cloudflare déclare adhérer (certification consultable sur dataprivacyframework.gov).

Selon Cloudflare, Turnstile n'utilise pas les données collectées à des fins publicitaires et ne dépose pas de cookie publicitaire. Pour en savoir plus : politique de confidentialité de Cloudflare.

4. Mesure d'audience (Quiet Metrics)

Le Site mesure sa fréquentation avec Quiet Metrics, un outil de statistiques édité par La Boîte à Code elle-même (Alexandre Ribes EI, sous la marque Quiet Systems). Il ne s'agit donc pas d'un prestataire tiers : les données restent chez le responsable du traitement. Elles sont hébergées en France, chez OVH SAS (2 rue Kellermann, 59100 Roubaix), et ne sortent pas de l'Union européenne.

  • Fonctionnement : la mesure est faite côté serveur, sans JavaScript. À chaque page HTML consultée, le serveur du Site transmet à Quiet Metrics :
    • l'adresse de la page, réduite à son chemin et aux seuls paramètres de campagne (utm_source, utm_medium, utm_campaign, ref) ;
    • le site d'où vous venez (référent), réduit à son nom de domaine ;
    • votre adresse IP, le type de navigateur (user-agent) et la langue du navigateur ;
    • l'indication de la présence du cookie qm_visit (voir la Politique de cookies).
  • Résultat : des statistiques agrégées (nombre de visites, pages vues, provenance des visites, types d'appareils). Aucun profil individuel n'est constitué. L'adresse IP n'est jamais enregistrée : elle sert seulement, avec le navigateur et un sel secret régénéré puis détruit chaque nuit, à calculer une empreinte éphémère qui distingue les visiteurs d'une même journée (en IPv6, seul le préfixe /64 est utilisé). Une fois le sel détruit, l'empreinte ne peut plus être recalculée : un visiteur ne peut pas être suivi d'un jour à l'autre. La localisation déduite ne descend jamais sous le pays et la région.
  • Finalité : connaître la fréquentation du Site pour l'améliorer, et uniquement pour le compte de La Boîte à Code.
  • Base légale : intérêt légitime (article 6.1.f du RGPD). Cette mesure respecte les conditions fixées par la CNIL pour être dispensée de consentement : finalité strictement limitée à la mesure d'audience du Site, production de statistiques agrégées uniquement, absence de recoupement avec d'autres traitements, absence de transmission à des tiers à d'autres fins, cookie d'une durée de vie très inférieure à 13 mois et données conservées au plus 25 mois.
  • Durée de conservation des statistiques : 25 mois, puis suppression automatique.
  • Vous opposer : vous pouvez demander à ne plus être compté à tout moment, sans avoir à vous justifier, en suivant ce lien : ne plus être compté dans la mesure d'audience. Un cookie qm_ignore mémorise alors votre choix pendant 5 ans et plus aucune donnée vous concernant n'est transmise à Quiet Metrics. Pour revenir dans la mesure, ajoutez ?qm_ignore=0 à l'adresse d'une page du Site.

5. Supervision des erreurs techniques (Quiet Guard)

Le Site utilise Quiet Guard, un service de supervision des erreurs édité par La Boîte à Code elle-même (Alexandre Ribes EI, sous la marque Quiet Systems). Les rapports sont hébergés en France, chez OVH SAS (2 rue Kellermann, 59100 Roubaix), et ne sortent pas de l'Union européenne.

  • Quand : uniquement lorsqu'une erreur technique survient sur le Site en production.
  • Données : un rapport d'erreur contenant l'adresse de la page, la méthode de la requête, les en-têtes de la requête (dont le user-agent), les paramètres et le contenu de la requête, hors mots de passe. Si l'erreur survient pendant l'envoi d'un formulaire, ce contenu peut inclure le nom et le message saisis. Le rapport contient aussi l'identifiant de l'administrateur connecté le cas échéant.
  • Minimisation : avant l'envoi, les valeurs ressemblant à une adresse email, un IBAN, un numéro de sécurité sociale, un numéro de carte bancaire ou un numéro de téléphone sont automatiquement masquées, de même que les en-têtes cookie, authorization et referer et les adresses IP. Les rapports sont stockés chiffrés.
  • Finalité : détecter et corriger les dysfonctionnements du Site.
  • Base légale : intérêt légitime à assurer la sécurité et le bon fonctionnement du Site (article 6.1.f du RGPD).
  • Durée de conservation : 90 jours.

6. Fonctionnement et sécurité du Site

Traitement Données Durée de conservation
Session de navigation (stockée sur le serveur) Identifiant de session, adresse IP, user-agent 120 minutes d'inactivité, puis suppression lors du nettoyage automatique
Journaux de l'application Messages techniques horodatés, pouvant contenir une adresse de page ou un identifiant technique 14 jours (rotation quotidienne)
Journaux du serveur web Adresse IP, date et heure, page demandée, user-agent, code de réponse 14 jours (rotation quotidienne)
Limitation du nombre de requêtes Adresse IP Quelques minutes, en mémoire cache
  • Finalité : faire fonctionner le Site, le protéger contre les attaques et les abus, diagnostiquer les incidents.
  • Base légale : intérêt légitime à assurer la sécurité du Site (article 6.1.f du RGPD).
  • Destinataires : Alexandre Ribes ; IONOS (hébergement du serveur, France) ; Laravel Forge pour l'administration technique du serveur (voir « Destinataires et sous-traitants »).

7. Prise de rendez-vous et liens externes

  • Réserver un appel : le bouton « Réserver un appel » est un simple lien qui ouvre, dans un nouvel onglet, une page de réservation Proton Calendar éditée par Proton AG (Suisse). Le Site ne transmet aucune donnée à Proton. Les informations que vous saisissez sur cette page de réservation sont recueillies par Proton, qui les traite également selon sa propre politique de confidentialité, puis transmises à La Boîte à Code pour organiser l'appel (mesures précontractuelles prises à votre demande, article 6.1.b du RGPD ; conservation : 3 ans à compter du dernier contact). La Suisse bénéficie d'une décision d'adéquation de la Commission européenne.
  • Laisser un avis Google : ce lien ouvre une page de Google. Le Site ne transmet aucune donnée à Google ; votre avis est publié sous la responsabilité de Google et selon ses propres règles.

8. Espace d'administration

Le Site comporte un espace d'administration réservé à l'éditeur. Seul l'éditeur y dispose d'un compte (adresse email, mot de passe stocké sous forme hachée, double authentification par application). Les visiteurs ne peuvent pas créer de compte.

Clients et prospects (hors Site)

Relation commerciale

Lorsque vous devenez client, La Boîte à Code traite les données nécessaires à la relation : identité et coordonnées, échanges, devis, contrats, factures et paiements.

Finalité Base légale Durée de conservation
Établir les devis et exécuter les prestations Exécution du contrat ou mesures précontractuelles (article 6.1.b du RGPD) Durée de la relation, puis 5 ans (prescription, article 2224 du Code civil et article L. 110-4 du Code de commerce)
Facturation et comptabilité Obligation légale (article 6.1.c du RGPD) 10 ans à compter de la clôture de l'exercice (article L. 123-22 du Code de commerce)

Destinataires : Alexandre Ribes, les freelances partenaires qui interviennent sur votre projet (dans la limite de ce qui leur est nécessaire et sous engagement de confidentialité), la messagerie professionnelle (Proton), Shine (banque professionnelle et outil de facturation, France), ainsi que les administrations lorsque la loi l'impose.

Données de vos utilisateurs (sous-traitance)

Lorsque La Boîte à Code héberge ou maintient une application pour le compte d'un client, elle traite les données de ce client en qualité de sous-traitant (article 28 du RGPD). Le client reste responsable du traitement à l'égard de ses propres utilisateurs. Les engagements de La Boîte à Code figurent dans un accord de sous-traitance des données (DPA) conclu avec chaque client concerné. Cette politique ne s'applique pas à ces données.

Ce que le Site ne fait pas

  • pas de lettre d'information ni de prospection automatisée ;
  • pas de publicité, ni de traceur publicitaire ;
  • pas d'outil d'analyse tiers (pas de Google Analytics) ;
  • pas de bouton ou de contenu de réseau social intégré, pas de vidéo ni de carte intégrée ;
  • pas de police de caractères chargée depuis un service externe (les polices sont hébergées sur le serveur du Site) ;
  • pas de décision automatisée ni de profilage produisant des effets à votre égard (article 22 du RGPD).

Tableau récapitulatif

Traitement Données Base légale Durée Destinataires
Formulaire de contact Nom, email, service, message Mesures précontractuelles / intérêt légitime 3 ans après le dernier contact Service-smtp.fr, Proton, Cloudflare
Estimateur de projet Email, caractéristiques du projet Mesures précontractuelles / intérêt légitime 3 ans après le dernier contact Service-smtp.fr, Proton, Cloudflare
Anti-abus de l'estimateur Adresse IP, empreinte de l'email, cookie Intérêt légitime 5 minutes (IP), 24 heures (empreinte), 60 minutes (cookie) Aucun
Anti-robot (Turnstile) Signaux techniques du navigateur, jeton, adresse IP Intérêt légitime Côté site : aucune ; côté Cloudflare : selon la politique Turnstile de Cloudflare Cloudflare (États-Unis)
Mesure d'audience Page, référent, IP, user-agent, langue Intérêt légitime (exemption CNIL) 25 mois Quiet Metrics (hébergé chez OVH, France)
Supervision des erreurs Rapport d'erreur minimisé Intérêt légitime 90 jours Quiet Guard (hébergé chez OVH, France)
Session et journaux IP, user-agent, page, horodatage Intérêt légitime 120 minutes (session), 14 jours (application), 14 jours (nginx) IONOS, Laravel Forge
Clients Identité, coordonnées, contrats, factures Contrat / obligation légale Relation + 5 ans ; 10 ans (comptabilité) Freelances partenaires du projet, messagerie (Proton), Shine (banque et facturation) professionnelle

Destinataires et sous-traitants

Vos données sont destinées à Alexandre Ribes. Elles ne sont communiquées qu'aux prestataires suivants, dans la limite de ce qui est nécessaire à leur mission :

Prestataire Rôle Localisation des données Garantie en cas de transfert
IONOS (voir les Mentions légales) Hébergement du serveur France Sans objet (Union européenne)
Laravel Holdings Inc. (Laravel Forge) Administration technique du serveur, avec accès technique à celui-ci États-Unis Clauses contractuelles types de la Commission européenne (2021) intégrées à l'accord de traitement des données de Laravel ; Data Privacy Framework
Spirion (service-smtp.fr), RCS Paris 515 023 273 Envoi des emails du Site France (selon le prestataire, les données ne sortent pas de l'Union européenne) Sans objet
Proton AG Messagerie professionnelle ; agenda de réservation Suisse Décision d'adéquation (Suisse)
Cloudflare, Inc. Vérification anti-robot des formulaires États-Unis Data Privacy Framework (certification consultable sur dataprivacyframework.gov)
OVH SAS (hébergement de Quiet Metrics et Quiet Guard, outils édités par La Boîte à Code) Hébergement des statistiques d'audience et des rapports d'erreur France Pas de transfert hors UE

Vos données peuvent aussi être communiquées aux autorités publiques lorsque la loi l'exige. Aucune donnée n'est cédée, louée ou échangée à des fins commerciales.

Transferts hors de l'Union européenne

Certains prestataires sont établis hors de l'Union européenne :

  • Cloudflare, Inc. (États-Unis) : transfert encadré par le cadre de protection des données UE-États-Unis (décision d'adéquation du 10 juillet 2023).
  • Laravel Holdings Inc. (États-Unis) : clauses contractuelles types adoptées par la Commission européenne en 2021, intégrées à l'accord de traitement des données (Data Processing Addendum) auquel renvoient les conditions d'utilisation de Forge. Laravel déclare en outre adhérer au Data Privacy Framework UE-États-Unis (certification consultable sur dataprivacyframework.gov).
  • Proton AG (Suisse) : la Suisse fait l'objet d'une décision d'adéquation de la Commission européenne.

Aucun autre transfert de données hors de l'Union européenne n'est effectué.

Sécurité

La Boîte à Code met en œuvre des mesures adaptées pour protéger vos données :

  • chiffrement des échanges (HTTPS) ;
  • absence d'enregistrement en base des formulaires de contact et d'estimation ;
  • accès au serveur et à l'administration réservé à l'éditeur, avec double authentification et mots de passe stockés sous forme hachée ;
  • masquage automatique des données sensibles et stockage chiffré des rapports d'erreur ;
  • mises à jour régulières du système, du framework et des dépendances.

Vos droits

Vous disposez des droits suivants sur vos données :

  • droit d'accès (article 15 du RGPD) : savoir si des données vous concernant sont traitées et en obtenir une copie ;
  • droit de rectification (article 16) : faire corriger des données inexactes ;
  • droit à l'effacement (article 17) : obtenir la suppression de vos données, sauf obligation de conservation ;
  • droit à la limitation (article 18) : faire geler temporairement l'utilisation de vos données ;
  • droit à la portabilité (article 20) : recevoir les données que vous avez fournies dans un format lisible par machine, lorsque le traitement repose sur un contrat ;
  • droit d'opposition (article 21) : vous opposer à un traitement fondé sur l'intérêt légitime, pour des raisons tenant à votre situation particulière. Pour la mesure d'audience, il suffit de suivre le lien ne plus être compté ;
  • directives post-mortem (article 85 de la loi Informatique et Libertés) : définir ce que deviendront vos données après votre décès.

Comment les exercer

Une réponse vous est apportée dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois si la demande est complexe ou si de nombreuses demandes sont reçues ; vous en êtes alors informé(e) dans le premier mois. En cas de doute raisonnable sur votre identité, une information complémentaire peut vous être demandée.

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés (CNIL) :

  • Adresse : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
  • Téléphone : 01 53 73 22 22
  • Site web : https://www.cnil.fr

Mineurs

Le Site s'adresse à des professionnels porteurs d'un projet. Il ne s'adresse pas aux mineurs de moins de 15 ans, qui ne doivent pas utiliser les formulaires sans l'accord de leur représentant légal.

Cookies

Les cookies et autres traceurs utilisés sur le Site sont décrits dans la Politique de cookies.

Modifications

Cette politique est mise à jour lorsque les traitements ou la réglementation évoluent. La date de dernière mise à jour figure en tête du document.