Politique de confidentialité
La présente Politique de confidentialité décrit la manière dont l'Éditeur collecte, utilise et protège les données personnelles des utilisateurs de la plateforme lautoedition.fr, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi n° 78‑17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
01 Préambule
La protection des données personnelles est une priorité de l'Éditeur. La présente politique a pour objet d'informer les Utilisateurs, de manière claire et accessible, des traitements effectués sur leurs données, des bases juridiques mobilisées et des droits qui leur sont reconnus par la réglementation européenne et française.
02 Responsable de traitement
Le responsable du traitement, au sens de l'article 4.7) du RGPD, est :
- Arnaud Simonnet, entrepreneur individuel (micro‑entreprise).
- 52 Chemin des Carrières, 33710 Prignac‑et‑Marcamps, France.
- SIRET 78953258700019.
- Courriel : contact@lautoedition.fr.
03 Délégué à la protection des données (DPO)
Compte tenu de la nature et du volume des traitements, l'Éditeur a choisi d'assumer lui‑même les fonctions de Délégué à la protection des données (DPO). Toute demande relative aux données personnelles peut lui être adressée à :
- Arnaud Simonnet — DPO
- Courriel : contact@lautoedition.fr
- Adresse postale : 52 Chemin des Carrières, 33710 Prignac‑et‑Marcamps, France.
04 Données collectées
Les données collectées varient selon la typologie d'Utilisateur :
| Catégorie d'utilisateur | Données collectées |
|---|---|
| Auteur | Civilité, prénom, nom, date de naissance, adresse électronique, mot de passe (haché), pseudonyme(s), biographie, photo de profil, liens vers réseaux sociaux, contenus publiés (livres, descriptions, couvertures, kits presse). En cas d'activation de la vente directe : identifiant de compte Stripe Connect, statut du compte et historique des ventes et des virements (chez Stripe). |
| Lecteur | Prénom, nom, pseudo lecteur, adresse électronique, date de naissance, genre déclaré, mot de passe (haché), photo de profil, préférences de lecture (genres favoris), historique d'activité sur la plateforme (livres consultés, ajoutés à la PAL, lus, avis publiés, points/badges acquis). |
| Abonné newsletter brand | Adresse électronique, date d'inscription, statut de consentement, statut de désabonnement. |
| Visiteur non identifié | Identifiant de session anonyme (cookie _rt, uniquement si consentement à la mesure d'audience), événements de navigation anonymisés (page vue, clic sur livre, durée passée sur une page), adresse IP (logs serveur), informations techniques (user‑agent, langue, résolution). |
05 Finalités et bases légales
Chaque traitement de données personnelles repose sur une base légale identifiée au sens de l'article 6 du RGPD :
| Finalité | Base légale |
|---|---|
| Création et gestion du compte Auteur / Lecteur | Exécution du contrat (art. 6.1.b RGPD) |
| Gestion de la vente directe de livres : commandes, paiements, virements aux auteurs, facturation | Exécution du contrat (art. 6.1.b RGPD) |
| Publication et affichage des contenus auteurs (pages publiques, kit presse, newsletters auteurs) | Exécution du contrat (art. 6.1.b RGPD) |
| Envoi de la newsletter brand de l'Éditeur | Consentement (art. 6.1.a RGPD) |
Mesure d'audience et amélioration de l'expérience utilisateur (cookie _rt) |
Consentement (art. 6.1.a RGPD) |
| Lutte contre la fraude, modération, sécurité de la plateforme | Intérêt légitime (art. 6.1.f RGPD) |
| Conservation des factures et données comptables | Obligation légale (art. 6.1.c RGPD — art. L123‑22 Code de commerce) |
| Réponse aux demandes de contact | Intérêt légitime (art. 6.1.f RGPD) |
06 Destinataires des données
Les données personnelles sont destinées à l'Éditeur. Elles peuvent être communiquées aux sous‑traitants suivants, agissant exclusivement sur instruction de l'Éditeur dans le cadre de contrats conformes à l'article 28 du RGPD : Hostinger, Stripe, Brevo, Boxtal, Google, Cloudflare et OpenRouter.
S'y ajoutent des destinataires techniques qui reçoivent certaines données du seul fait du fonctionnement du site, sans agir sur instruction de l'Éditeur et sans contrat de sous‑traitance : les réseaux de diffusion de contenu (jsDelivr, unpkg), l'OpenStreetMap Foundation, le protocole IndexNow et Telegram. La distinction est faite ici parce qu'elle change la nature de l'engagement : sur ces derniers, l'Éditeur ne peut garantir que le respect de leurs propres politiques.
Le détail, service par service :
- Hostinger International Ltd. (hébergement — Chypre, UE).
- Stripe Payments Europe Ltd. (paiements — Irlande, UE) et Stripe Inc. (États‑Unis — voir article 7).
- Brevo (Sendinblue SAS) (envoi d'e‑mails transactionnels et marketing — France, UE).
- Boxtal SAS (expédition des commandes de livres papier — France, UE). Lors de la génération d'une étiquette d'expédition, lui sont transmis les nom, prénom, numéro de téléphone et adresse postale complète du destinataire. Avant toute commande, lors du calcul des frais de port, lui sont transmis le pays, le code postal et la ville de livraison ; lors de la seule recherche d'un point relais, le pays et le code postal. Pour l'auteur‑vendeur, lui sont transmis son nom et son adresse postale légale d'expéditeur. L'adresse électronique de l'acheteur ne lui est pas communiquée.
- Google Ireland Limited (Irlande, UE) et Google LLC (États‑Unis — voir article 7), au titre notamment de : Google Analytics 4, qui reçoit votre adresse IP et votre parcours de navigation uniquement si vous avez consenti à la mesure d'audience. Les polices de caractères du site, autrefois servies par Google Fonts, sont désormais hébergées sur ce domaine : elles ne donnent plus lieu à aucune transmission. L'Éditeur interroge par ailleurs l'API de statistiques de Google depuis ses propres serveurs, pour consulter ses chiffres d'audience ; cet appel ne transmet aucune donnée vous concernant.
- Cloudflare, Inc. (États‑Unis — voir article 7), au titre du dispositif anti‑robot Turnstile présent sur les deux formulaires d'inscription. Lui sont transmis votre adresse IP et des signaux techniques et comportementaux relatifs à votre navigateur.
- OpenRouter, Inc. (États‑Unis — voir article 7), passerelle technique par laquelle transitent les requêtes d'intelligence artificielle du site, et les éditeurs des modèles effectivement sollicités : Mistral AI (France, UE) pour l'assistant d'aide, et Alibaba Cloud (modèle Qwen) pour le filtrage anti‑robot. Sont transmis : pour l'assistant d'aide, la question que vous lui posez ; pour le filtrage anti‑robot, à la seule étape de l'inscription, vos prénom et nom, le domaine de votre adresse électronique (et non l'adresse elle‑même), le pays déduit de votre adresse IP, votre navigateur, une empreinte technique de votre appareil (résolution d'écran, système d'exploitation, fuseau horaire, langues, nombre de cœurs du processeur), des indicateurs de remplissage du formulaire (mouvements de souris, frappes, collages, défilement, temps passé, passage à un autre onglet), le type de compte demandé, l'heure et le jour de la tentative, ainsi que deux indicateurs dérivés de votre adresse IP : un compteur de visites récentes depuis cette adresse et, le cas échéant, un indicateur de réputation (opérateur, pays, usage d'un relais ou d'un VPN). Aucun manuscrit n'est transmis à ces sous‑traitants.
- Telegram FZ‑LLC (Émirats arabes unis — voir article 7), au titre d'un canal de notification interne : à chaque confirmation d'inscription, une alerte est adressée à l'Éditeur. Elle contient vos prénom et nom, votre adresse électronique, l'adresse IP depuis laquelle l'inscription a été faite et votre identifiant interne.
- jsDelivr et unpkg (réseaux de diffusion de contenu), qui reçoivent votre adresse IP et le nom du site — mais non l'adresse exacte de la page — du seul fait du chargement de certaines bibliothèques d'affichage.
- OpenStreetMap Foundation (Royaume‑Uni — voir article 7), qui fournit le fond de la carte affichée lors du choix d'un point relais. Le chargement des tuiles cartographiques lui transmet votre adresse IP ainsi que la zone géographique affichée, laquelle correspond au secteur de votre livraison.
- IndexNow (point d'entrée mutualisé relayant aux moteurs de recherche participants, dont Microsoft Bing), à qui sont signalées les adresses des pages publiques nouvellement publiées ou modifiées, afin d'en accélérer l'indexation. Aucune donnée personnelle ne lui est transmise à ce titre.
Auteurs. Lorsque vous candidatez à un service de presse en format papier, l'adresse postale que vous avez choisie (nom, prénom, rue, complément d'adresse éventuel, code postal, ville et pays) est communiquée à l'auteur du livre, uniquement si votre candidature est acceptée, afin qu'il vous expédie l'exemplaire. Votre numéro de téléphone ne lui est jamais transmis, et l'auteur ne voit plus l'adresse 60 jours après l'envoi. L'auteur la reçoit pour son propre compte, au seul titre de l'envoi de ce livre.
Aucune donnée n'est cédée, louée ou vendue à des tiers à des fins commerciales.
07 Transferts hors Union européenne
Certains sous‑traitants étant établis hors de l'Union européenne, des transferts de données personnelles sont susceptibles d'intervenir vers :
- Stripe Inc. (États‑Unis) — pour le traitement des paiements ;
- OpenRouter, Inc. (États‑Unis) — passerelle d'accès aux modèles d'IA ;
- Alibaba Cloud — éditeur du modèle utilisé pour le filtrage anti‑robot ;
- Google LLC (États‑Unis) — mesure d'audience, et uniquement si vous y avez consenti ;
- Cloudflare, Inc. (États‑Unis) — dispositif anti‑robot des formulaires d'inscription ;
- Telegram FZ‑LLC (Émirats arabes unis) — canal de notification interne des inscriptions ;
- jsDelivr et unpkg — réseaux de diffusion de contenu, dont les serveurs sont répartis mondialement et notamment aux États‑Unis ;
- OpenStreetMap Foundation (Royaume‑Uni) — fond cartographique du choix d'un point relais. Le Royaume‑Uni bénéficie d'une décision d'adéquation de la Commission européenne du 28 juin 2021.
Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (Décision (UE) 2021/914 du 4 juin 2021), assurant un niveau de protection des données équivalent à celui exigé par le RGPD. Google LLC et Cloudflare, Inc. adhèrent en outre au Data Privacy Framework UE–États‑Unis, reconnu adéquat par la Commission européenne le 10 juillet 2023. Une copie de ces clauses peut être obtenue sur demande adressée au DPO.
08 Durées de conservation
| Donnée | Durée de conservation |
|---|---|
| Compte utilisateur actif | Tant que le compte n'est pas supprimé par l'Utilisateur |
| Compte supprimé | Effacement effectif sous 30 jours, sauf obligation légale de conservation |
| Adresse d'expédition d'un exemplaire papier (service de presse) | Copiée chez l'auteur à l'acceptation de la candidature, puis effacée 60 jours après l'envoi, ou 90 jours après l'acceptation si l'auteur n'a jamais marqué l'envoi, ou dès l'annulation de l'envoi ou l'anonymisation du compte |
| Factures et données comptables | 10 ans (obligation comptable — art. L123‑22 Code de commerce) |
| Logs serveur (accès, erreurs) | 1 an maximum |
Événements de tracking (table reader_events) |
13 mois (recommandation CNIL en matière de mesure d'audience) |
Événements du jeu « Les Royaumes de Papier » (table jeu_evenements : sans cookie de mesure, sans compte ni adresse IP dans ces événements, date au jour près, jamais croisés avec les comptes ; arrêtés si vous refusez la mesure d'audience). Empreinte à clé secrète de l'adresse IP pour limiter les abus : supprimée automatiquement, au bout d'une heure en pratique |
13 mois |
| Données de prospection (newsletter brand) | 3 ans à compter du dernier contact ou opt‑in |
09 Droits des personnes
Conformément aux articles 15 à 22 du RGPD et aux articles correspondants de la loi Informatique et Libertés modifiée, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès — obtenir confirmation que vos données sont traitées et en recevoir copie ;
- Droit de rectification — faire corriger des données inexactes ou les compléter ;
- Droit à l'effacement (« droit à l'oubli ») — demander la suppression de vos données dans les conditions prévues à l'article 17 du RGPD ;
- Droit à la portabilité — recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement ;
- Droit d'opposition — vous opposer, à tout moment, au traitement de vos données pour des motifs tenant à votre situation particulière ;
- Droit à la limitation du traitement — obtenir la suspension du traitement dans les cas prévus à l'article 18 du RGPD ;
- Droit de retirer votre consentement — à tout moment, sans que cela n'affecte la licéité du traitement antérieur ;
- Droit de définir des directives relatives au sort de vos données après votre décès (article 85 LIL).
Ces droits s'exercent par courriel à contact@lautoedition.fr ou par voie postale, en joignant si nécessaire une copie d'un titre d'identité. L'Éditeur répond dans un délai d'un (1) mois à compter de la réception de la demande, éventuellement prorogé de deux mois en cas de demande complexe (art. 12.3 RGPD).
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 ;
- www.cnil.fr/fr/plaintes.
10 Sécurité
L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées, conformément à l'article 32 du RGPD :
- chiffrement des mots de passe par algorithme bcrypt avec coût adaptatif ;
- transport chiffré HTTPS/TLS sur l'intégralité du site (certificat Let's Encrypt renouvelé automatiquement) ;
- protection contre les attaques CSRF par tokens à usage unique sur tous les formulaires ;
- journal d'audit des actions administratives sensibles (audit log) ;
- authentification à deux facteurs (2FA TOTP) obligatoire pour les comptes administrateurs ;
- authentification par certificat client (mTLS) sur les accès administrateurs ;
- politique de mots de passe forts et limitation des tentatives de connexion ;
- sauvegardes régulières et chiffrées de la base de données ;
- cloisonnement des environnements staging / production ;
- journalisation et supervision des accès au serveur.
Conformément à l'article 33 du RGPD, en cas de violation de données à caractère personnel présentant un risque pour les droits et libertés des personnes concernées, l'Éditeur notifie la CNIL dans un délai de 72 heures et informe directement les personnes concernées si le risque est élevé.
11 Cookies
Le détail des cookies et traceurs déposés sur votre terminal, ainsi que les modalités de gestion du consentement, sont précisés dans la Politique cookies.
12 Modifications
La présente Politique de confidentialité peut être modifiée à tout moment pour refléter les évolutions réglementaires ou les évolutions du Service. La version applicable est celle en vigueur à la date de consultation. Les modifications substantielles font l'objet d'une notification individuelle aux Utilisateurs concernés.