Qui fait quoi
sessio traite deux sortes de données, avec deux rôles différents :
- Les données de nos clients (comptes, usage du tableau de bord) : Flamme WASS en est le responsable de traitement.
- Les données des visiteurs des sites où un client installe le tracker : le client (l’agence ou l’éditeur du site) est responsable de traitement ; sessio agit comme sous-traitant, sur ses instructions et uniquement pour lui fournir le Service.
Si vous avez visité un site équipé de sessio et souhaitez exercer vos droits, adressez-vous d’abord à l’éditeur de ce site ; nous l’aiderons à vous répondre.
Données des visiteurs des sites
Ce qui est collecté
- Navigation : pages vues, référent, durée, clics, défilement, mouvements de souris, taille de la fenêtre.
- Le replay : la structure et les modifications visuelles de la page, pour la rejouer. Tous les champs de formulaire sont masqués : on voit qu’un champ est rempli, pas ce qui y est tapé.
- Technique : navigateur, système, type d’appareil, erreurs JavaScript, requêtes réseau (adresse, statut, durée).
- Localisation approximative (pays, ville) déduite de l’adresse IP. L’adresse IP n’est jamais montrée aux clients ni exposée par l’API.
- Un identifiant aléatoire de visiteur, pour relier ses visites entre elles (voir Cookies et traceurs). Un client peut y associer un libellé (par exemple un identifiant de compte) s’il le choisit.
Ce qui ne l’est pas, ou seulement sur choix du client
- Le contenu des requêtes (corps, réponses, en-têtes) n’est enregistré que si le client l’active pour un site ; les secrets (mots de passe, jetons, numéros de carte, IBAN, en-têtes d’authentification) y sont alors masqués automatiquement.
- Les zones marquées
sessio-blockne sont jamais enregistrées. - Les robots et navigateurs automatisés ne sont pas enregistrés.
Pourquoi
Pour permettre au client de comprendre l’usage de son site, d’en corriger les erreurs et d’en améliorer l’ergonomie. Ces données ne sont ni vendues, ni utilisées pour de la publicité, ni croisées entre clients.
Données de nos clients
- Compte : nom, adresse e-mail, photo de profil Google le cas échéant, organisation, rôle.
- Plan : le plan de l’organisation et sa consommation (aucune donnée de paiement : le Service est gratuit).
- Usage : journaux de connexion et d’actions dans le tableau de bord, à des fins de sécurité et d’audit.
Base légale : l’exécution du contrat et notre intérêt légitime à sécuriser le Service.
Durées de conservation
| Donnée | Durée |
|---|---|
| Replay | 15 jours, avec ou sans erreur |
| Replay conservé par le client | Jusqu’à ce que le client cesse de le conserver ou supprime les données du site, en nombre limité par son plan |
| Statistiques agrégées | Tant que le compte du client existe |
| Compte client | Durée du contrat, puis 3 ans après la fin du contrat |
| Données d’un espace fermé | Supprimées sous 30 jours |
Un client peut supprimer à tout moment les données d’un site ou d’un visiteur depuis son espace.
Hébergement et sous-traitants
Les données sont hébergées en Allemagne (Union européenne) par Contabo GmbH. Nous faisons appel à un nombre limité de prestataires, chacun pour un usage précis :
- Google, pour la connexion par compte Google ;
- Cloudflare, Inc., pour la diffusion du site et sa protection contre les attaques ;
- FindIP, pour déduire le pays et la ville d’une adresse IP.
Lorsqu’un transfert hors de l’Espace économique européen a lieu, il est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne).
Sécurité
Échanges chiffrés (HTTPS), espaces cloisonnés entre clients, rôles et droits par utilisateur, clés d’API révocables, journal d’audit, masquage par défaut des saisies. Aucune mesure n’offre une sécurité absolue : en cas de violation de données, nous en informons les clients concernés dans les meilleurs délais.
Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès.
Pour les exercer, écrivez à [email protected]. Nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable. Nous répondons sous un mois, délai qui peut être prolongé de deux mois pour une demande complexe ; vous en êtes alors informé.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr/plaintes) ou de l’autorité de protection des données de votre pays de résidence.
Contact
Responsable de traitement : Flamme WASS.
Nous n’avons pas désigné de délégué à la protection des données ; pour toute question relative à vos données, écrivez à [email protected].