Le strict
minimum

• Aucun compte requis : l'analyse fonctionne sans inscription (compte facultatif, voir §05).
• Aucun cookie de tracking, aucun pixel publicitaire.
• Aucune vente de données. Seuls les sous-traitants techniques listés au §03 les reçoivent, pour faire tourner l'audit.
• Aucun profilage, aucune publicité ciblée.
• Aucune collecte de données nominatives (nom, téléphone) ; l'email uniquement si vous créez un compte.
• Aucune adresse IP ni métadonnée de requête transmise aux fournisseurs d'IA.

Pour faire tourner l'audit, on traite uniquement :

• L'URL que vous saisissez et la langue d'interface (fr/en).
• Le rapport d'analyse complet (score, métadonnées techniques, plan d'action) — conservé 180 jours maximum, puis purgé automatiquement.
• Une empreinte HMAC-SHA-256 de votre IP avec sel serveur secret — non réversible, utilisée pour la sécurité et la mesure d'usage agrégée.
• Métadonnées techniques de la requête : pays (code ISO déduit de l'IP), user-agent du navigateur, page d'origine (referrer) si fournie. Le pays est déduit localement sur notre serveur (base IP Geolocation by DB-IP, CC BY 4.0) : aucun service tiers n'est appelé.
• Un lien de partage (si vous cliquez sur « Partager ») — expire au bout de 30 jours, révocable manuellement à tout moment.
• Votre IP brute, pour le rate-limit — conservée 24 h en mémoire viveuniquement par l'application, fenêtre glissante.
• Journaux techniques du serveur web — adresse IP tronquée(dernier octet IPv4 / 80 derniers bits IPv6 mis à zéro), date, page demandée, user-agent ; conservés 14 jours puis supprimés.

Base légale : intérêt légitime (analytics produit et sécurité anti-abus).

• Infomaniak Network SA (Suisse) — hébergement de l'application.
• Supabase — base de données, région eu-central-2 (Zurich).
• Fournisseurs d'IA — Google (Gemini), OpenAI, Anthropic, Mistral AI : reçoivent l'URL analysée et des extraits du contenu public de la page, pour l'analyse GEO et les suggestions de mots-clés.
• Google PageSpeed Insights — reçoit l'URL analysée pour mesurer les Core Web Vitals.

Les fournisseurs d'IA et Google peuvent traiter ces données hors de Suisse (notamment aux États-Unis). Ils ne reçoivent ni votre IP ni vos métadonnées de requête — uniquement l'URL publique et son contenu.

Quatre durées de vie, appliquées automatiquement :

• Rapports d'analyse et leurs métadonnées (URL, score, IP hashée, pays, user-agent, referrer) — conservés 180 jours maximum, puis supprimés par une tâche quotidienne en base de données. Pas de rétention prolongée, pas d'archivage « au cas où ».
• Liens de partage (share tokens) — identifiant aléatoire qui expire après 30 jours ; le lien cesse alors de fonctionner et l'identifiant est effacé par la même tâche quotidienne. Révocable manuellement à tout moment sur simple demande.
• Rate-limit IP — stockage en mémoire vive uniquement, aucune persistance disque, fenêtre glissante de 24 h. Purgé à chaque redémarrage du serveur.
• Journaux du serveur web — IP tronquée, conservés 14 jours.

Suppression immédiate d'un rapport ou d'un lien : écrivez à l'adresse ci-dessous.

• Si vous créez un compte, on conserve votre adresse email (connexion par lien magique, sans mot de passe) et on rattache vos analyses à ce compte.
• Les analyses d'un compte sont conservées tant que le compte existe ; les analyses anonymes restent purgées après 180 jours.
• Un cookie de session strictement nécessaire est posé uniquement après connexion.
• Vous pouvez supprimer votre compte à tout moment depuis /account : l'email et toutes les analyses associées sont effacés immédiatement.
• Données hébergées chez Supabase, région eu-central-2 (Zurich).

• Demander l'accès à vos données (s'il y en a).
• Demander la suppression d'un rapport partagé.
• Demander la rectification de toute information incorrecte.

Écrivez à privacy@swissalytics.ch. Réponse sous 7 jours.