Politique de confidentialité

Dernière mise à jour : 9 novembre 2026

La présente politique décrit comment SHAU collecte et traite vos données personnelles, sur le site shau.fr et dans le cadre de sa prospection commerciale, conformément au Règlement général sur la protection des données (RGPD, UE 2016/679) et à la loi « Informatique et Libertés ».

Vous avez reçu un e-mail de SHAU vous présentant une maquette de site, ou un appel de notre part ? Tout ce qui vous concerne est dans la section Prospection commerciale. Pour ne plus rien recevoir, répondez simplement « STOP » à l'e-mail ; pour ne plus être appelé, dites-le-nous pendant l'appel ou écrivez à [email protected].

Responsable du traitement

Données collectées et finalités

Traitement	Données & finalité
Formulaire de contact	Nom, adresse e-mail, contenu du message, ainsi que l'adresse IP et l'horodatage de l'envoi (sécurité / anti-spam). Finalité : traiter et répondre à votre demande. Sur certaines pages, le message indique aussi la page d'où vous arrivez sur le formulaire (page du site ou nom du site d'origine), pour savoir quels contenus amènent des demandes ; seule une statistique sans donnée personnelle (date, page, provenance) en est conservée.
Assistant conversationnel	Le contenu des messages que vous saisissez dans le chat. Finalité : vous renseigner sur les services de SHAU. Pour générer les réponses, les messages de la conversation en cours sont transmis à un service d'intelligence artificielle : OpenAI, ou Anthropic si le premier est indisponible (voir les destinataires ci-dessous). Ne saisissez pas de données sensibles. SHAU ne conserve pas les échanges au-delà de la session ; votre adresse IP sert uniquement à limiter le nombre de questions par jour (anti-abus).
Diagnostic de visibilité	L'adresse du site que vous faites analyser et, si vous les indiquez, votre activité et votre zone ciblée. Finalité : analyser ce site et afficher le résultat. La page indiquée est lue par nos serveurs, et son adresse est transmise à Google PageSpeed Insights pour mesurer sa vitesse. Seule une statistique sans donnée personnelle (domaine analysé, activité et zone saisies, score) est conservée ; votre adresse IP sert uniquement à limiter le nombre d'analyses (anti-abus) et n'est pas enregistrée. Si vous demandez un diagnostic approfondi, l'e-mail et le nom que vous indiquez sont traités comme un message du formulaire de contact.
Commande de landing page ou de prestation de visibilité	Votre brief (activité, zone, objectif, offre, site actuel, éléments disponibles, précisions), vos coordonnées (nom, entreprise, e-mail, téléphone facultatif), puis le statut de la commande et, si vous payez, la référence du paiement. Finalité : étudier votre demande, vous envoyer le lien de paiement, réaliser et livrer la prestation, vous informer de chaque étape. Le paiement est fait sur la page sécurisée de Stripe : SHAU ne voit ni ne conserve vos coordonnées bancaires.
Suivi après un diagnostic approfondi (demandé sur /visibilite-digitale ou à la fin d'une étude)	Votre adresse e-mail, l'adresse du site analysé et le résumé du diagnostic automatique. Finalité : vous confirmer la demande puis vous écrire au plus trois fois en deux semaines au sujet de la visibilité de ce site. Chaque message contient un lien de désinscription en un clic ; les messages s'arrêtent aussi dès que vous passez commande.
Préférence d'affichage	Un stockage local (localStorage) conserve votre choix de thème clair/sombre. Il ne s'agit pas d'un cookie de suivi ; aucune donnée n'est transmise.
Journaux techniques du serveur	Pour chaque visite, le serveur enregistre automatiquement l'adresse IP, la date et l'heure, la page demandée, le navigateur et la page d'origine. Finalité : sécurité du site (détection des abus) et diagnostic des pannes. Ces journaux ne servent ni à la publicité ni à la mesure d'audience.
Accord de sous-traitance (DPA) avec un client de SHAU	L'identité de votre entreprise (raison sociale, SIREN, adresse), celle de son représentant (nom, fonction, adresse e-mail), la prestation concernée et la description des traitements que vous nous confiez ; lors de l'acceptation, les éléments de preuve : identité et fonction déclarées, adresse e-mail vérifiée par un code, version et empreinte (SHA-256) du document accepté, date et heure UTC, adresse IP et navigateur. Finalité : établir, signer et conserver le contrat de sous-traitance, et pouvoir prouver son acceptation.
Espace client	Votre adresse e-mail, les liens de connexion à usage unique qui vous sont envoyés et un cookie de session strictement nécessaire (shau_confiance, 8 heures au maximum, posé seulement après connexion). Finalité : vous donner accès à vos documents contractuels.
Demandes relatives à vos données (RGPD) et signalements d'incident	Votre nom, votre adresse e-mail, votre entreprise le cas échéant, le contenu de votre demande et l'historique de son traitement. Finalité : répondre à votre demande dans le délai légal et pouvoir justifier de son traitement.

Base légale

• Formulaire et assistant : votre consentement et l'exécution de mesures précontractuelles prises à votre demande (art. 6.1.a et 6.1.b du RGPD).
• Diagnostic de visibilité : exécution de mesures précontractuelles prises à votre demande (art. 6.1.b).
• Commande de landing page : exécution de mesures précontractuelles puis du contrat (art. 6.1.b) ; conservation des pièces comptables : obligation légale (art. 6.1.c).
• Suivi après un diagnostic approfondi : intérêt légitime à donner suite à votre demande (art. 6.1.f), avec opposition possible à tout moment par le lien de chaque message.
• Sécurité (IP, anti-spam) : intérêt légitime à protéger le site contre les abus (art. 6.1.f).
• Journaux techniques du serveur : intérêt légitime à assurer la sécurité et le bon fonctionnement du site (art. 6.1.f).
• Accord de sous-traitance et espace client : exécution du contrat (art. 6.1.b) et obligation légale de conclure un contrat de sous-traitance (art. 28 du RGPD, art. 6.1.c) ; conservation des preuves d'acceptation : intérêt légitime à pouvoir prouver l'existence et le contenu du contrat (art. 6.1.f).
• Demandes relatives à vos données : obligation légale (art. 6.1.c, articles 12 à 22 du RGPD).

Destinataires et sous-traitants

Vos données sont destinées au seul éditeur du site. Pour fonctionner, le site s'appuie sur :

• OVHcloud (OVH SAS) — hébergement du site et du serveur, en France (centre de données de Gravelines) ; sauvegardes chiffrées sur son stockage en France (région Paris).
• IONOS (IONOS SE, Allemagne) — conservation de copies de sauvegarde du serveur, chiffrées avant envoi, à Mannheim.
• Cloudflare (Cloudflare, Inc., États-Unis) — réseau de diffusion et protection du site contre les attaques : chaque visite de shau.fr transite par Cloudflare, qui traite votre adresse IP et les informations techniques de la requête, y compris hors de l'Union européenne, dans le cadre du Data Privacy Framework UE–États-Unis et des clauses contractuelles types.
• Brevo (Sendinblue SAS, France) — acheminement technique des e-mails issus du formulaire de contact. Les données sont hébergées dans l'Union européenne.
• OpenAI (OpenAI, L.L.C., États-Unis) — génération des réponses de l'assistant conversationnel, par son API. Les messages ne sont pas utilisés pour entraîner ses modèles ; OpenAI peut les conserver pour une durée limitée à des fins de sécurité et de lutte contre les abus.
• Anthropic (Anthropic, PBC, États-Unis) — génération des réponses de l'assistant lorsque le service d'OpenAI est indisponible, par son API, dans les mêmes conditions.
• Google (PageSpeed Insights) — mesure de la vitesse du site que vous soumettez au diagnostic de visibilité : seule l'adresse de ce site est transmise, et Google peut la traiter hors de l'Union européenne.
• Stripe (Stripe Payments Europe, Ltd., Irlande) — paiement en ligne des commandes : Stripe reçoit votre e-mail, le montant et vos données de paiement, qu'il traite comme prestataire de paiement et peut transférer hors de l'Union européenne dans le cadre de ses clauses contractuelles types.
• Microsoft (Microsoft Ireland Operations Ltd) — messagerie Microsoft 365 de SHAU, par laquelle partent les e-mails de commande et de suivi, ainsi que ceux de l'espace client (liens de connexion, codes de signature, avis de signature) et les réponses aux demandes relatives à vos données.

Aucune donnée n'est vendue, louée ou cédée à des fins commerciales. Les messages saisis dans l'assistant sont traités aux États-Unis par OpenAI ou Anthropic ; ce transfert est encadré par les clauses contractuelles types de la Commission européenne prévues dans leurs conditions de traitement des données. Hormis le transit des requêtes par Cloudflare et les cas indiqués ci-dessus (Google, Stripe), les autres données recueillies par le site sont hébergées dans l'Union européenne (pour la prospection, voir ci-dessous).

Durée de conservation

• Messages de contact : conservés le temps nécessaire au traitement de votre demande, puis au maximum 3 ans à compter de notre dernier échange, à des fins de suivi.
• Échanges avec l'assistant : non conservés par SHAU au-delà de la session ; seuls des compteurs anonymes (nombre de questions, coût) sont tenus, et le compteur par adresse IP est remis à zéro chaque jour.
• Diagnostic de visibilité : résultat gardé 20 minutes en mémoire pour les visiteurs qui testent le même site ; statistique sans donnée personnelle conservée 7 mois au plus ; compteur anti-abus par adresse IP tenu en mémoire et effacé au plus tard après 24 heures.
• Adresse IP (anti-spam) : supprimée automatiquement après 1 heure.
• Commandes : demandes non abouties, 3 ans à compter de notre dernier échange ; commandes payées, pendant la réalisation puis 5 ans, et 10 ans pour les pièces comptables (obligation légale).
• Suivi après un diagnostic : 3 ans à compter du dernier message ; en cas de désinscription, l'adresse est gardée seulement pour ne plus vous écrire.
• Journaux techniques du serveur : 14 jours, puis supprimés automatiquement.
• Accords de sous-traitance et preuves d'acceptation : pendant toute la relation contractuelle, puis 5 ans ; dossiers non signés : 3 ans à compter du dernier échange.
• Espace client : liens de connexion valables 30 minutes (7 jours pour une invitation de SHAU) et utilisables une seule fois ; codes de signature valables 15 minutes ; sessions de 8 heures au maximum.
• Demandes relatives à vos données : 5 ans après leur clôture, pour pouvoir justifier de leur traitement.

Cookies et traceurs

Ce site n'utilise aucun cookie publicitaire ni outil de mesure d'audience (pas de Google Analytics, pas de pixel de réseau social). Aucune police ou ressource externe n'est chargée. Les seuls traceurs sont strictement nécessaires et dispensés de consentement : le choix du thème (stockage local, ci-dessus) et, pour les clients qui se connectent à leur espace, le cookie de session shau_confiance. Cloudflare ne dépose pas de cookie lors d'une visite normale (vérifié le 9 novembre 2026) ; s'il doit vérifier qu'un visiteur n'est pas un robot, il peut poser un cookie technique de sécurité, lui aussi strictement nécessaire. Aucun bandeau de consentement n'est donc nécessaire.

Les maquettes que nous préparons pour nos prospects (adresses en *.demo.shau.fr) n'utilisent pas non plus de cookie ; leur mesure de visite est décrite dans la section Prospection commerciale.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Pour les exercer, écrivez à [email protected]. Une réponse vous sera apportée dans un délai d'un mois (prorogeable de deux mois pour une demande complexe ; nous vous en informerions). Si SHAU traite vos données pour le compte de l'un de ses clients, nous lui transmettons votre demande sans délai.

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr.

Décision automatisée

Aucune décision produisant des effets juridiques n'est prise de manière automatisée à partir de vos données.

Prospection commerciale

SHAU contacte des entreprises susceptibles d'être intéressées par ses services et ses outils, par e-mail ou par téléphone : création de sites web, conseil et développement, Findingbase, SHAU Factur et Odoo par SHAU. Certains messages présentent une maquette de site préparée pour l'entreprise ; d'autres, un audit de visibilité offert, préparé pour elle (offre Visibilité & acquisition digitale). Depuis le 27 octobre 2026, la plupart invitent à répondre à une courte étude. Les agents de prospection utilisent les boîtes génériques [email protected] (SHAU Factur et Odoo par SHAU) et [email protected] (Findingbase), une fois leur envoi autorisé par Styvan Hauterville ; les messages de l'offre Visibilité & acquisition digitale partent de sa boîte, [email protected]. Si vous avez reçu un tel message ou un tel appel, voici l'information prévue par l'article 14 du RGPD (données qui ne sont pas collectées auprès de vous).

Responsable du traitement	SHAU — Styvan Hauterville, entrepreneur individuel, SIREN 107 173 320 (coordonnées complètes ci-dessus). Contact : [email protected]
Finalité	Proposer nos services (création de sites web, conseil et développement) et nos outils (Findingbase, outil de recherche d'entreprises ; SHAU Factur, solution de facturation électronique, notamment pour les cabinets et organismes de gestion ; Odoo par SHAU, logiciel de gestion) aux entreprises : repérer les entreprises susceptibles d'être intéressées, leur écrire ou les appeler, le cas échéant leur préparer une maquette de site, puis suivre nos échanges (intérêt exprimé, rendez-vous, proposition).
Base légale	Intérêt légitime de SHAU à faire connaître ses services (art. 6.1.f du RGPD), dans le cadre d'une prospection entre professionnels : nous n'écrivons qu'à des entreprises, sur leur adresse professionnelle, au sujet de leur activité (site web, outils numériques). Par téléphone, nous n'appelons que le numéro professionnel que l'entreprise publie elle-même (sur son site ou dans un annuaire professionnel), au sujet de son activité ; nous n'appelons jamais de particuliers.
Sources des données	Sources publiques uniquement : en France, le répertoire public des entreprises Sirene, tenu par l'INSEE ; le Registre national des entreprises (nom et qualité des dirigeants), consulté via l'API Recherche d'entreprises de l'État ; pour les entreprises du bâtiment, l'annuaire des entreprises RGE (Reconnu garant de l'environnement) publié par l'ADEME : les coordonnées que l'entreprise y a déclarées, retrouvées par son numéro SIRET ; au Québec, pour les entrepreneurs en construction, la liste des licences actives de la Régie du bâtiment du Québec : les coordonnées que l'entreprise a déclarées à la Régie (Source : Régie du bâtiment du Québec, Données Québec, CC BY 4.0) ; le site web officiel de l'entreprise (accueil, contact, mentions légales) : les agents de prospection et leur orchestrateur Gaspard recherchent aussi des entreprises sur le web, puis relisent les pages du site officiel pour vérifier les coordonnées publiées ; les annuaires professionnels (PagesJaunes) : le numéro de téléphone que l'entreprise y publie ; OpenStreetMap ; Findingbase, l'outil de recherche d'entreprises développé par SHAU, qui s'appuie sur des sources publiques.
Données traitées	nom de l'entreprise, son numéro SIREN et, le cas échéant, nom et qualité de son dirigeant ; adresse e-mail professionnelle, page source, date et résultat des vérifications : pour les agents, publication sur le site officiel et présence de serveurs de messagerie pour le domaine (enregistrements MX), sans sonde SMTP depuis notre serveur. Ces contrôles ne garantissent pas l'existence de la boîte ni la réception du message ; numéro de téléphone professionnel publié par l'entreprise, et adresse de la page où il figure ; secteur d'activité, effectif déclaré et ville ; adresse du site web et informations publiques qu'il présente (activité, services), pour personnaliser les messages et, le cas échéant, la maquette ; pour les agents : évaluation de l'adéquation de l'entreprise à l'offre, score de confiance fondé sur les coordonnées vérifiées, l'identité, l'activité et cette adéquation, priorité et motifs de qualification. Ces estimations internes du potentiel commercial servent à sélectionner les entreprises et à préparer les messages ; pour l'audit de visibilité : position du site de l'entreprise et de ses concurrents dans les résultats de Google et de Google Maps pour des recherches liées à son métier et à sa ville (avec la note et le nombre d'avis Google publics), résultat d'un test PageSpeed Insights de sa page d'accueil, réponse d'un assistant IA avec recherche web à une question du type « Je recherche un [métier] à [ville] ». L'audit est publié sur une page personnelle de shau.fr, non référencée, supprimée sous 90 jours ; suivi de nos échanges : date d'envoi, consultation de la maquette ou de l'audit (pages vues, clics, temps de lecture), réponse, éventuelle opposition ; pour les appels : date des appels et des tentatives (répondeur, pas de réponse), intérêt exprimé, notes prises pendant l'appel, suites convenues (rappel, rendez-vous, proposition) et notre estimation interne du potentiel commercial ; éventuelle opposition. En Belgique, nous n'écrivons qu'à des adresses génériques d'entreprise (contact@, info@…), jamais à une adresse nominative. Au Québec, uniquement à des adresses publiées sans mention de refus de sollicitation.
Destinataires	SHAU uniquement : ces données ne sont ni vendues, ni louées, ni cédées. Prestataires techniques : OVHcloud (OVH SAS) — hébergement des serveurs (suivi commercial, maquettes, Findingbase), en France ; Microsoft 365 (Microsoft Ireland Operations Ltd) — messagerie : envoi de nos e-mails et réception de vos réponses, données hébergées dans l'Union européenne ; Captain Verify (FORFRY SARL, France, hébergé par OVH en France) et Bouncer (Bouncer Sp. z o.o., Pologne, serveurs à Francfort, dans l'Union européenne) — pour le circuit de prospection de sites web, vérification que votre adresse e-mail professionnelle existe, auprès de votre serveur de messagerie, sans vous envoyer de message ; seule l'adresse leur est transmise ; Serper (serper.dev) — mesure des résultats de recherche Google pour l'audit de visibilité : seuls la recherche (métier, ville) et le nom de l'entreprise lui sont transmis, jamais une adresse e-mail ni le nom d'une personne ; ces recherches peuvent être traitées hors de l'Union européenne ; Google (PageSpeed Insights) — test de vitesse de la page d'accueil publique du site de l'entreprise, pour l'audit de visibilité : seule l'adresse du site est transmise ; Anthropic (Claude) — outil d'intelligence artificielle qui nous aide à préparer la maquette, l'audit de visibilité et le texte du message à partir des informations ci-dessus, et à retrouver, sur des pages publiques, les entreprises, leur site et leurs coordonnées professionnelles, notamment lors des recherches de Gaspard. Anthropic est établie aux États-Unis : ces informations peuvent y être traitées, hors de l'Union européenne ; OpenAI (Codex, utilisé avec un abonnement ChatGPT) — outil d'intelligence artificielle utilisé par les agents pour rechercher des entreprises sur le web, évaluer leur adéquation à nos offres et rédiger des accroches à partir des informations professionnelles publiques relevées. Les informations transmises à OpenAI peuvent être traitées hors de l'Union européenne, notamment aux États-Unis. Sa politique de confidentialité décrit les transferts et les garanties applicables. Styvan Hauterville décide du cadre d'envoi : en validation individuelle, il relit et valide chaque message ; en « envoi sous plafond », il valide un lot et autorise les agents concernés à envoyer dans un périmètre défini (modèles de messages, ciblage et plafond), sans relecture individuelle systématique des messages suivants. Le plafond est au plus de 20 messages par jour et par agent, relances comprises. Un changement de modèle ou de ciblage, ou un relèvement du plafond au-delà de l'autorisation, demande une nouvelle validation. Styvan passe lui-même chaque appel.
Durée de conservation	3 ans à compter de notre premier message ou de votre dernier contact avec nous ; sans réponse de votre part pendant ce délai, vos données sont supprimées ; pour la prospection de sites web, si vous vous opposez, vos données de prospection sont supprimées et la maquette est retirée ; seules votre adresse e-mail (ou le nom de domaine) et la date de votre demande sont conservées 3 ans dans une liste d'opposition, pour ne plus vous écrire ; pour les agents de prospection, une opposition entraîne l'inscription sur la liste d'opposition et l'arrêt des relances. Pour demander aussi l'effacement des données de suivi commercial, écrivez à [email protected] ; prospection téléphonique : 3 ans après notre dernier échange ; si vous nous demandez de ne plus vous appeler, le nom du dirigeant, les notes et le suivi sont supprimés, et seuls le nom de l'entreprise, son numéro SIREN, le numéro de téléphone et la date de votre demande sont conservés 3 ans, pour ne plus vous appeler ; pages d'audit de visibilité : supprimées 90 jours après leur publication, ou dès votre opposition ; journal de visite des maquettes et des audits : 14 jours (voir ci-dessous).
Vos droits	Vous pouvez vous opposer à la prospection à tout moment, gratuitement et sans justification : répondez « STOP » à notre message, dites-le-nous pendant l'appel, ou écrivez à [email protected]. Vous disposez aussi des droits d'accès, de rectification, d'effacement et de limitation. Réponse sous un mois.
Réclamation	Auprès de la CNIL, ou de l'autorité de votre pays : en Belgique, l'Autorité de protection des données ; au Québec, la Commission d'accès à l'information.

Études et questionnaires (shau.fr/etude, findingbase.fr/questionnaire)

Certains de nos messages invitent votre entreprise à répondre à une courte étude (visibilité en ligne, tâches répétitives, prospection). Répondre est facultatif, et chaque question l'est aussi.

Données	Vos réponses aux questions ; si vous les demandez, l'adresse e-mail, l'adresse du site et le message saisis pour recevoir un diagnostic gratuit ou les résultats de l'étude. Le lien reçu par e-mail contient un code qui rattache vos réponses à votre entreprise dans notre suivi de prospection ; sans ce code, la réponse est anonyme. Nous notons aussi si vous lancez le diagnostic en direct proposé à la fin ; si vous passez commande depuis l'étude, ce code est conservé avec la commande. Aucune adresse IP ni information sur votre navigateur n'est conservée (l'adresse IP sert seulement, en mémoire, à limiter les abus).
Finalités et base légale	Mieux comprendre les besoins des entreprises et adapter nos services (intérêt légitime) ; ne pas vous relancer si vous avez déjà répondu (intérêt légitime) ; vous recontacter pour le diagnostic ou les résultats, uniquement si vous l'avez demandé et accepté (consentement, que vous pouvez retirer à tout moment).
Publication	Les résultats sont publiés uniquement sous forme de statistiques agrégées et anonymes (pourcentages calculés sur un nombre suffisant de réponses), sans nom d'entreprise ni citation identifiable.
Durée de conservation	Réponses rattachées à votre entreprise : au plus 3 ans après notre dernier échange, puis supprimées ou rendues anonymes. Journal technique de collecte : 190 jours. Statistiques agrégées : sans limite (elles ne contiennent aucune donnée personnelle).
Désinscription et droits	Le lien « Ne plus recevoir nos messages » de la page de l'étude, ou la réponse « STOP » à notre e-mail, vous inscrit dans notre liste d'opposition (conservée 3 ans). Pour accéder à vos réponses, les corriger ou les faire effacer : [email protected].