Politique de confidentialité

vbnetwork BV — société de droit belge dont le siège social est établi Teniersstraat (David) 65, 1800 Vilvorde, Belgique — est le responsable du traitement des données pour ce site.

Numéro d'entreprise : 1005.098.756 · TVA : BE 1005.098.756 · RPM Bruxelles (section néerlandophone). Représentant légal : Etienne van Bogaert.

Pour toute question relative à vos données ou pour exercer vos droits (§ 9), contactez [email protected].

Pas de cookies de suivi. Pas de localStorage à des fins d'identification. Pas de balise Google Analytics, Meta Pixel, Hotjar ou équivalent. Aucun script tiers de suivi ne s'exécute dans votre navigateur.

Le formulaire de contact utilise Cloudflare Turnstile pour empêcher les envois automatisés — c'est le seul script tiers chargé, et uniquement quand vous ouvrez le tiroir de contact.

À chaque requête, nous incrémentons un compteur (source, jour, page) sur le serveur. Ce compteur ne contient ni votre IP, ni votre user-agent, ni aucun identifiant dérivé. Une ligne stockée est une somme comme "la page d'accueil a été lue 47 fois le 2026-03-15", jamais qui l'a lue.

Ces compteurs ne sont pas des données personnelles. Base légale : intérêt légitime (art. 6.1.f RGPD) — mesurer approximativement la fréquentation d'une page publique.

Pour chaque requête, une entrée est enregistrée avec : horodatage, IP, méthode HTTP, chemin exact, chaîne de requête, user-agent, referer, pays (via l'edge). Ces données sont des données personnelles.

Elles servent à répondre aux questions qu'un compteur agrégé ne peut pas répondre : "quelle est cette activité inhabituelle", "un scanner a-t-il ciblé /wp-admin", "un incident vient-il de se produire". Sans elles, un journal d'accès n'est pas un journal.

Base légale : intérêt légitime (art. 6.1.f) — sécurité et disponibilité du service. Conservation : 30 jours à compter de l'écriture, purge automatique côté CRM.

Ce journal ignore délibérément l'en-tête x-no-analytics (§ 7). Un journal de sécurité qu'un attaquant peut désactiver n'en est pas un.

Pour reconstruire dans quel ordre une même visite a lu plusieurs pages, une clé de session est calculée sur le serveur : HMAC-SHA256(sel_du_jour, IP || user-agent), tronquée à 128 bits. Ni l'IP ni le user-agent ne sont stockés — seule la clé dérivée l'est.

Le sel est régénéré à chaque minuit UTC et l'ancien est détruit. Une fois la rotation faite, la clé d'hier ne peut plus être recalculée par nous-mêmes. Un visiteur qui revient un autre jour est un nouveau visiteur pour ce système.

Base légale : intérêt légitime (art. 6.1.f) — comprendre le parcours d'une visite. Conservation : 90 jours côté CRM. Vous pouvez vous y opposer avec l'en-tête x-no-analytics (§ 7).

Un fragment d'URL comme #services n'est jamais envoyé au serveur. Pour savoir quelles sections d'une page ont été atteintes, un petit script côté navigateur émet un beacon vers /api/section-view quand vous cliquez sur un lien interne, ouvrez la page sur un ancre, ou faites défiler une section jusqu'à ce qu'elle reste visible ~1 seconde.

Ce que le beacon envoie : le chemin de la page, et un ou plusieurs noms de section pris dans une liste fermée (voir src/lib/tracking/sectionAnchors.ts). Rien d'autre. Pas de cookie, pas d'identifiant client, pas d'empreinte navigateur. La clé de visite est dérivée côté serveur exactement comme au § 5.

Un visiteur qui bloque ce script (JavaScript désactivé, extension anti-tracking) est toujours compté comme vue de page. Il ne contribue simplement pas aux données de section. Ces chiffres sont un plancher, pas un recensement.

Base légale et rétention identiques au § 5.

Envoyez l'en-tête x-no-analytics: 1 avec n'importe quelle requête HTTP et cette requête est exclue de : compteur de pages vues (§ 3), événements de session (§ 5), vues de section (§ 6). Cela couvre les moniteurs, les scripts de vérification, les visiteurs qui préfèrent ne pas être mesurés du tout.

L'en-tête n'est pas honoré par le journal de sécurité (§ 4) — c'est délibéré. Un journal qu'un attaquant peut désactiver par un en-tête n'est pas un journal.

Les champs que vous remplissez (nom, entreprise, email/téléphone, message) sont envoyés uniquement par email à l'adresse de contact du site. Aucun stockage en base de données, aucun envoi vers un CRM ou vers Cloudflare autre que la vérification anti-spam Turnstile décrite au § 2.

Base légale : consentement / prise de contact demandée par vous-même (art. 6.1.a et 6.1.b). Vous pouvez demander la suppression du fil de discussion à tout moment.

Vous avez le droit d'accéder à vos données, de les rectifier, de les faire effacer, de vous opposer au traitement, et de porter plainte auprès de l'Autorité de protection des données (APD, Belgique) si vous estimez que vos droits n'ont pas été respectés.

Contact : [email protected].