Politique de confidentialité

1. Objet et périmètre

Cette politique couvre trois situations distinctes :

• le site marketing mercur.fr (information sur le service, navigation, formulaire de contact, formulaire d’exercice des droits) ;
• l’application MERCUR sur app.mercur.fr (compte, création et gestion de site, facturation, support, outils de pilotage) ;
• les sites internet publiés par les utilisateurs MERCUR : pour les données des visiteurs de ces sites (formulaires de contact, mesure d’audience, hébergement), l’utilisateur éditeur est en principe responsable du traitement, et MERCUR agit comme sous-traitant technique.

Les mentions légales de mercur.fr et les conditions générales (CGU / CGV) restent des documents distincts : voir /mentions-legales et /cgu-cgv. Les pages juridiques d’un site d’utilisateur s’appliquent en priorité aux visiteurs de ce site.

Le blog éditorial blog.mercur.fr est une publication distincte. Lorsqu’un traitement y est opéré par MERCUR, les principes de la présente politique s’appliquent, sauf mention contraire affichée sur ce blog.

2. Responsable(s) de traitement

Responsable du traitement pour mercur.fr et l’application MERCUR : MERCUR. Pour toute question relative aux données, le formulaire de demande (section 14) est le canal recommandé.

Les demandes relatives aux données sont traitées par l’équipe MERCUR. Le formulaire de demande est recommandé ; le formulaire de contact reste disponible.

Sites des utilisateurs : l’utilisateur éditeur du site est responsable du traitement des données collectées via son site (contacts, audience, etc.). MERCUR traite ces données pour son compte, en qualité de sous-traitant, afin de fournir le service (hébergement, formulaires, statistiques, notifications). Cet encadrement est précisé dans l’accord de sous-traitance (DPA) mis à disposition dans l’espace utilisateur : app.mercur.fr/legal/dpa. L’acceptation du DPA y est proposée et recommandée avant publication d’un site susceptible de collecter des données de visiteurs. Pour exercer vos droits sur un site d’utilisateur, adressez-vous d’abord à l’éditeur du site ; MERCUR peut l’assister dans le traitement de la demande.

3. Données collectées

Nous ne demandons pas de données dites « sensibles » (santé, opinions politiques, etc.) via mercur.fr ou l’application. Si vous en transmettez spontanément dans un message, nous les utilisons uniquement pour traiter votre demande, puis nous les supprimons dès que possible.

Sur mercur.fr : données de navigation technique nécessaires au fonctionnement et à la sécurité ; données du formulaire de contact (nom, e-mail, message et tout autre champ que vous renseignez), pour répondre à votre demande et assurer le suivi commercial ou support ; données du formulaire « Demande relative à vos données » (nom, e-mail, type de demande, message, site ou URL éventuellement indiqué).

Sur l’application MERCUR : identité et coordonnées de compte (authentification assurée par Clerk, voir section 6) ; données nécessaires à la fourniture du service (sites, contenus, contacts reçus, statistiques, paramètres) ; facturation et abonnement ; données techniques de session et de sécurité ; analyse produit pour comprendre l’usage de l’application.

Sur les sites des utilisateurs (visiteurs — MERCUR sous-traitant) : coordonnées et message transmis via le formulaire de contact ; métadonnées techniques de la session ; événements d’audience pseudonymisés (sans contenu personnel) ; journaux techniques de sécurité.

Caractère obligatoire : les champs marqués comme requis sont nécessaires pour traiter la demande ou créer le compte. Sans ces informations, le service demandé ne peut pas être fourni.

4. Finalités

MERCUR responsable (mercur.fr et application) : présenter le service ; répondre aux messages du formulaire de contact ; répondre aux demandes RGPD ; créer et gérer les comptes ; fournir, héberger et améliorer le service ; facturer ; assurer le support ; garantir la sécurité ; respecter les obligations légales ; mesurer et améliorer l’usage de l’application.

MERCUR sous-traitant (sites des utilisateurs, pour le compte de l’éditeur) : recevoir et transmettre les demandes de contact ; aider à qualifier ou synthétiser des messages (assistant IA) ; notifier l’éditeur ; mesurer l’audience de façon limitée ; assurer hébergement, disponibilité et sécurité.

Intelligence artificielle : lorsqu’elle est utilisée sur des messages de contact, elle assiste l’éditeur (synthèse, catégorisation, brouillon). MERCUR ne réutilise pas ces contenus pour entraîner des modèles, et ces contenus ne sont pas utilisés pour entraîner les modèles du prestataire d’IA. Aucune décision automatisée produisant seule un effet juridique significatif n’est prise sur cette base.

5. Bases légales

Selon la finalité, MERCUR s’appuie notamment sur :

• l’exécution du contrat ou de mesures précontractuelles (compte, abonnement, service, demande de contact via mercur.fr ou via un site d’utilisateur) ;
• l’intérêt légitime (sécurité, prévention des abus, amélioration du service, analyse produit limitée, mesure d’audience des sites des utilisateurs — section 10) ;
• l’obligation légale (conservation comptable et fiscale, réponse aux autorités) ;
• le consentement, lorsqu’il est requis (traitements optionnels ou traceurs non nécessaires — section 10). Vous pouvez le retirer à tout moment, sans remettre en cause la licéité du traitement déjà effectué.

6. Destinataires et sous-traitants

Accès limité aux personnes habilitées au sein de MERCUR, dans la mesure nécessaire à leurs missions.

Prestataires réellement utilisés :

• Cloudflare — hébergement, réseau, Workers, stockage, sécurité et diffusion ;
• Clerk — authentification et compte sur app.mercur.fr ;
• Stripe — paiement et abonnement ;
• OpenAI — assistance IA (génération de site, synthèse de messages, aides à la réponse) ;
• Brevo — e-mails transactionnels (notifications des contacts reçus sur les sites des utilisateurs ; acheminement des formulaires de mercur.fr, dont le formulaire de contact et le formulaire de demande) ;
• PostHog — analyse produit sur l’application (pas sur les visiteurs des sites publiés par les utilisateurs) ;
• Neon — base de données utilisée par certaines fonctionnalités de l’application et du site ;
• OVH et Cloudflare — enregistrement et gestion des noms de domaine, selon l’offre.

Sur un site d’utilisateur, l’éditeur est destinataire des demandes et statistiques le concernant. MERCUR ne vend pas vos données personnelles.

7. Transferts hors de l’Espace économique européen

Certains prestataires sont établis hors de l’EEE ou peuvent traiter des données hors EEE (notamment Cloudflare, Clerk, Stripe, OpenAI, et le cas échéant d’autres outils listés en section 6).

Lorsque des transferts hors EEE ont lieu, MERCUR s’appuie sur les garanties du RGPD : clauses contractuelles types (CCT / SCC) et/ou accords de traitement (DPA) des prestataires, complétés le cas échéant par des mesures techniques et organisationnelles.

Pour PostHog, MERCUR utilise l’hébergement européen du prestataire. Comme tout prestataire, celui-ci peut faire appel à des sous-traitants situés hors de l’EEE ; les garanties décrites ci-dessus s’appliquent alors.

8. Durées de conservation

Les durées ci-dessous reflètent la politique documentée MERCUR. Elles peuvent être adaptées en cas d’obligation légale, de litige ou d’instruction du responsable (site d’utilisateur). En fin de Bêta ou de compte, une fenêtre d’export de 30 jours s’ouvre, puis MERCUR peut supprimer ou anonymiser les données restantes sans raccourcir une conservation légale ou une durée déjà documentée pour les contacts collectés.

Lorsque MERCUR est responsable (mercur.fr et application) :

• Compte et service : pendant la relation, puis le temps de clôture ; export 30 jours après la fin d’accès, puis suppression ou anonymisation, sous réserve des obligations légales.
• Support et formulaire de contact (mercur.fr) : durée du traitement de la demande et du suivi, puis suppression ou archivage limité si obligation légale ou litige.
• Formulaire RGPD (cette page) : durée du traitement de la demande, puis suppression ou archivage limité si obligation légale.
• Facturation : durée légale de conservation comptable / fiscale.
• Analyse produit (PostHog, application) : 12 mois pour les événements bruts. Ce chiffre est celui annoncé ; il n’est pas vérifié comme un réglage piloté par MERCUR.
• Journaux de sécurité : plafond documenté de 6 mois. MERCUR ne les efface pas automatiquement ; lorsqu’un outil les conserve, c’est la durée de cet outil qui s’applique.

Lorsque MERCUR est sous-traitant (sites des utilisateurs) : le Participant fixe et documente la durée des contacts visiteurs. À défaut d’instruction contraire, MERCUR applique le défaut suivant :

• Contacts reçus via les sites des utilisateurs : 36 mois sans relation contractuelle documentée par l’éditeur ; sinon durée de la relation puis archivage légal si requis. Suppression selon les instructions de l’éditeur, puis cycle des sauvegardes.
• Audience (sites des utilisateurs) : événements bruts 13 mois ; session navigateur 30 jours ; session du formulaire de contact ≈ 30 minutes ; stats agrégées anonymisées plus longtemps.
• Journaux de sécurité (sites des utilisateurs) : plafond documenté de 6 mois. MERCUR ne les efface pas automatiquement.

9. Sécurité

MERCUR met en œuvre des mesures raisonnables : HTTPS, contrôle d’accès, isolation des données par site / compte lorsque le service le prévoit, journalisation utile aux incidents, prestataires d’infrastructure reconnus.

Ces mesures constituent une obligation de moyens. Aucun système n’est infaillible. En cas d’incident, MERCUR applique ses procédures internes et informe le cas échéant les personnes et autorités concernées conformément au RGPD.

Cette politique décrit les traitements de données. Elle ne crée pas de niveau de disponibilité, de délai de rétablissement ni de garantie commerciale. L’indisponibilité du service, une erreur publiée sur un site d’utilisateur ou un manque à gagner relèvent des conditions générales, sans préjudice des droits des personnes concernées et des pouvoirs de la CNIL.

10. Cookies, traceurs et mesure d’audience

mercur.fr — catégories : nécessaires (toujours actifs — fonctionnement du site et mémorisation du choix). Des cookies techniques d’hébergement peuvent exister indépendamment.

Application MERCUR : cookies et stockage local nécessaires à l’authentification et à la session.

Sites des utilisateurs : la mesure d’audience y est limitée (aucune publicité, aucune donnée personnelle dans les événements, identifiant limité au site, durée de conservation bornée, possibilité de refus). Lorsque les conditions prévues par la CNIL sont réunies, cette mesure peut être exemptée de consentement. Détail et opposition : informations légales du site concerné.

11. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez notamment des droits : accès, rectification, effacement, opposition, limitation, portabilité (si applicable), retrait du consentement, et directives post-mortem (droit français).

Pour les traitements dont MERCUR est responsable, le formulaire de demande est le canal recommandé. Vous pouvez aussi nous écrire via le formulaire de contact. L’exercice de vos droits n’est pas conditionné à une case de consentement. Accusé de réception sous 72 h ; réponse sous 1 mois (prolongeable selon le RGPD). Une preuve d’identité peut être demandée en cas de doute raisonnable.

Pour un site d’utilisateur, contactez d’abord l’éditeur. MERCUR peut l’assister. Vous pouvez aussi signaler une demande via le formulaire en précisant l’URL du site.

Réclamation possible auprès de la CNIL.

12. Mineurs

MERCUR est un service destiné aux professionnels. Il n’est pas destiné aux mineurs. Nous ne collectons pas sciemment de données auprès de personnes de moins de 18 ans. Si un mineur nous a transmis des données, utilisez le formulaire de demande.

13. Évolution de cette politique

MERCUR peut mettre à jour cette politique. La date de dernière mise à jour figure en tête de page. En cas de changement substantiel, une information adaptée pourra être communiquée. Consultez cette page régulièrement.

Pour toute question sur cette politique ou sur vos données, le formulaire de demande est le canal recommandé.