Politique de confidentialité

Ce que couvre cette politique

La présente politique explique ce qu’il advient des données personnelles en lien avec le site https://www.shepherdstudios.ch et avec les demandes faites par son intermédiaire. Elle vise à remplir le devoir d’informer prévu à l’art. 19 LPD, applicable depuis le 1er septembre 2023, selon lequel le responsable du traitement doit vous communiquer au moins qui il est, dans quel but il traite vos données et qui d’autre les reçoit.

Sur un point, qu’il vaut la peine de signaler d’emblée, le droit suisse de la protection des données fonctionne autrement que celui de l’UE : le traitement de données personnelles ne requiert en général pas votre consentement. Il doit être licite, conforme aux principes de la bonne foi et de la proportionnalité, et servir une finalité reconnaissable pour vous (art. 6 LPD), et l’on doit vous en informer. C’est à cela que sert cette page. La section consacrée au RGPD, plus bas, indique quand le droit de l’UE s’applique en plus.

Ce qu’est ce site, techniquement

C’est un site vitrine statique. Chaque page est générée à l’avance et servie sous forme de fichier fini. Il n’y a ni comptes utilisateur, ni connexion, ni boutique, ni paiements, ni système de commentaires. Rien de ce que vous faites sur ce site n’est enregistré sur un serveur. La seule partie qui n’est pas un fichier fini est le formulaire de demande : lorsque vous l’envoyez, une petite fonction chez l’hébergeur transmet directement votre message sous forme d’e-mail, comme décrit plus bas, et n’en garde aucune copie.

Aucun traçage, et aucune mesure d’audience d’aucune sorte

Ce site ne charge aucun outil de mesure d’audience, aucun gestionnaire de balises, aucun pixel publicitaire ou de conversion, aucun enregistreur de sessions ni aucune carte de chaleur, et aucun service de signalement d’erreurs. Il n’intègre rien provenant de tiers : ni cartes, ni lecteur vidéo, ni widgets de réseaux sociaux, ni outil externe de commentaires ou de réservation. La police de caractères est servie depuis le propre domaine de ce site et non par un service de polices, si bien que l’ouverture d’une page ne signale votre visite à personne d’autre. Votre visite n’est pas mesurée, ne fait l’objet d’aucun profilage et n’est comparée à celle de personne d’autre.

Les cookies, et la seule chose enregistrée dans votre navigateur

Ce site ne dépose aucun cookie. Il n’y a rien à quoi consentir et pas de bannière, c’est pourquoi vous n’en avez pas vu.

Il y a exactement un élément enregistré dans le navigateur, et un seul. Lorsque vous ouvrez pour la première fois la page d’accueil dans un onglet, la page écrit une valeur unique, shepherd:intro-seen, dans le stockage de session (session storage) de cet onglet, afin que l’animation d’ouverture ne soit jouée qu’une fois et non à chaque retour sur la page d’accueil. Elle contient le caractère « 1 ». Elle n’identifie rien ni personne, elle est supprimée lorsque vous fermez l’onglet, et elle n’est jamais transmise nulle part : seule la page qui l’a écrite la lit, dans votre propre navigateur.

Le formulaire de demande

Le formulaire situé au bas de chaque page vous demande votre nom, votre adresse e-mail, le type de shooting qui vous intéresse et votre message. Votre numéro de téléphone est facultatif : indiquez-le si vous souhaitez que le studio vous rappelle.

Lorsque vous l’envoyez, ce que vous avez saisi est transmis au serveur de ce site, qui le fait suivre directement sous forme d’e-mail à la boîte de réception du studio sans en conserver de copie. L’e-mail est acheminé par Resend, Inc. (États-Unis), un service qui envoie des e-mails pour le compte du studio. Votre adresse e-mail est indiquée comme adresse de réponse, pour que le studio puisse vous répondre directement. Rien n’est transmis tant que vous n’avez pas envoyé le formulaire, et un formulaire à moitié rempli ne quitte jamais votre appareil.

Si l’envoi échoue, le formulaire vous propose d’ouvrir plutôt votre propre programme de messagerie, avec un message au studio déjà rédigé. Dans ce cas, vos informations ne parviennent au studio que sous la forme d’un e-mail ordinaire envoyé depuis votre propre compte, et seulement si vous l’envoyez.

Dans quel but, et sur quelle base

La finalité est de vous répondre : examiner la demande, y répondre et, si elle débouche sur une commande, planifier et réaliser le travail, puis le facturer. Il s’agit d’un traitement en relation directe avec la conclusion ou l’exécution d’un contrat, et c’est la raison pour laquelle vous avez envoyé le message. Aucun profilage n’est effectué, aucune décision automatisée n’est prise à votre sujet, et rien de ce que vous envoyez n’est utilisé à des fins publicitaires ni vendu à qui que ce soit.

Durée de conservation

Une demande qui ne débouche pas sur un travail est conservée dans la boîte de réception du studio aussi longtemps que l’échange peut plausiblement être encore en cours, puis supprimée : en pratique, c’est une question de mois, pas d’années. La correspondance qui fait partie d’une commande est conservée avec le dossier de cette commande, car le droit suisse exige que les livres et les pièces comptables qui s’y rapportent soient conservés pendant dix ans (art. 958f du Code des obligations, CO). Vous pouvez à tout moment demander ce qui est conservé et en demander l’effacement, sous réserve de cette obligation de conservation.

Hébergement, et ce que voit le serveur

Le site est hébergé sur l’infrastructure de Vercel Inc. (États-Unis), qui le diffuse depuis des sites périphériques (edge) répartis dans le monde entier. Pour fournir une page, l’hébergeur doit nécessairement recevoir la requête : votre adresse IP, la page demandée, l’heure, ainsi que le navigateur et le système d’exploitation que votre navigateur indique. Les hébergeurs conservent ces journaux pendant une courte durée, pour l’exploitation et la sécurité : fournir les pages, parer aux attaques, diagnostiquer les pannes. Ce traitement relève de l’hébergeur, selon ses propres conditions ; le studio ne reçoit pas ces journaux, ne les analyse pas et ne les utilise pas pour identifier les personnes qui visitent le site.

Les e-mails adressés au studio, y compris les demandes envoyées par le formulaire, sont remis dans la boîte de réception du studio chez Hostpoint AG (Rapperswil-Jona, Suisse), qui héberge le domaine du studio et conserve les e-mails sur des serveurs situés en Suisse.

Communication de données personnelles à l’étranger

Comme l’hébergeur et le service d’envoi d’e-mails du formulaire sont des entreprises établies aux États-Unis, la diffusion de ce site ainsi que l’acheminement d’une demande impliquent que des données personnelles soient traitées hors de Suisse, ce que l’art. 19, al. 4 LPD nous oblige à vous indiquer. Une telle communication doit reposer sur l’une des garanties prévues aux art. 16 et 17 LPD : une décision du Conseil fédéral constatant un niveau de protection adéquat, des clauses contractuelles ou une dérogation prévue par la loi. La base sur laquelle reposent les accords avec ces prestataires est en cours de vérification, et cette section la nommera dès que ce sera fait. Elle n’est pas indiquée ici, car mentionner une garantie non vérifiée serait pire que de reconnaître la lacune.

Qui d’autre reçoit vos données

Personne, en dehors des prestataires nécessaires au fonctionnement du studio : l’hébergeur du site, le service d’envoi d’e-mails du formulaire de demande et le fournisseur de messagerie décrit plus haut, ainsi que, lorsqu’une commande se concrétise, la banque du studio et sa fiduciaire, pour la facturation et la comptabilité. Les données personnelles ne sont ni vendues, ni louées, ni partagées à des fins publicitaires, ni transmises à des courtiers en données, et aucun réseau publicitaire n’intervient d’une quelconque manière sur ce site.

Photographies de personnes

Le studio photographie des personnes. La photographie d’une personne identifiable est une donnée personnelle, et l’image d’une personne est en outre protégée en tant que telle par l’art. 28 du Code civil (CC).

Deux rôles différents entrent en jeu, et il vaut la peine de les distinguer. Lors d’un shooting réalisé sur commande, c’est le client qui détermine les finalités et les moyens (de quel événement il s’agit, qui est photographié, où les images seront publiées) ; c’est donc lui le responsable de ce traitement, et c’est à lui qu’incombe le devoir d’informer les personnes devant l’objectif. Le studio travaille selon ce cahier des charges. Ce point est réglé dans les Conditions générales (CG).

Lorsque le studio publie une image pour son propre compte (sur ce site, dans son portfolio, sur ses propres canaux), c’est lui qui a choisi cette finalité ; il est donc responsable du traitement pour cette publication, et aucun accord avec un client n’y change rien. C’est pourquoi il demande d’abord l’autorisation et ne se fie pas à une autorisation que quelqu’un d’autre a obtenue pour une autre finalité.

Si vous figurez sur une photographie de ce site et préférez ne pas y figurer, écrivez au studio et elle sera retirée. Vous n’avez pas à donner de raison, et traiter des données personnelles contre la manifestation expresse de la volonté de la personne concernée constitue de toute façon une atteinte à sa personnalité au sens de l’art. 30, al. 2, let. b LPD.

Vos droits

Selon la loi fédérale révisée sur la protection des données, vous pouvez :

• Demander quelles données vous concernant sont traitées et les obtenir, avec la finalité du traitement, la durée de conservation, leur origine et les destinataires auxquels elles ont été communiquées (art. 25). L’accès est gratuit, et vous ne pouvez pas y renoncer d’avance.
• Faire rectifier des données inexactes (art. 32, al. 1).
• Demander l’effacement de données, ou la cessation d’un traitement ou d’une communication déterminés (art. 32, al. 2), sous réserve de l’obligation de conserver les livres comptables pendant dix ans, décrite plus haut.
• Vous opposer au traitement. Traiter des données personnelles contre la manifestation expresse de votre volonté constitue en soi une atteinte à la personnalité au sens de l’art. 30, al. 2, let. b.
• Obtenir les données que vous avez communiquées dans un format électronique couramment utilisé, ou les faire transmettre à un autre responsable du traitement, lorsque les conditions de l’art. 28 sont réunies.

Pour exercer l’un de ces droits, écrivez au studio à l’adresse indiquée dans l’encadré en haut de cette page. Il se peut que nous devions vérifier votre identité avant de répondre, car envoyer sur demande les données d’une personne à une autre constituerait en soi une violation.

Si la réponse ne vous satisfait pas, vous pouvez signaler l’affaire au Préposé fédéral à la protection des données et à la transparence (PFPDT), à Berne, qui surveille les responsables du traitement privés et peut ouvrir une enquête d’office ou sur dénonciation (art. 49 LPD).

Si vous vous trouvez dans l’UE ou dans l’EEE

La Suisse ne fait pas partie de l’UE, et le règlement général sur la protection des données (RGPD) ne s’applique pas à une entreprise suisse du seul fait que son site peut être consulté depuis Munich. Il s’applique lorsqu’une entreprise offre délibérément des biens ou des services à des personnes se trouvant dans l’Union, ou y suit leur comportement (art. 3, par. 2 RGPD). Le studio travaille à l’international ; lorsque le RGPD s’applique à une commande donnée, les bases juridiques sont donc l’art. 6, par. 1, let. b RGPD (mesures précontractuelles prises à votre demande, et exécution de ce contrat) et l’art. 6, par. 1, let. f RGPD, l’intérêt légitime du studio à répondre à une demande qui lui est adressée.

Les droits décrits ci-dessus ont des équivalents proches aux art. 15 à 21 RGPD, et le studio traite de la même manière une demande fondée sur l’un ou l’autre texte. Comme ce site ne pratique aucun traçage, la question du consentement aux cookies d’analyse ou publicitaires ne se pose pas.

Sécurité

Le site est servi via HTTPS. Comme rien n’y est enregistré et qu’une demande ne fait qu’y transiter en route vers le studio sous forme d’e-mail, la surface d’attaque se situe au niveau de la boîte de réception du studio et de ses propres appareils, et non de ce site. L’e-mail n’est pas un moyen de communication chiffré de bout en bout ; si vous devez transmettre quelque chose de vraiment sensible, dites-le et nous conviendrons d’un autre moyen.

Modifications

La présente politique décrit le site tel qu’il est construit aujourd’hui. Si le site se dote d’un outil de mesure d’audience, d’un calendrier de réservation intégré, d’une autre voie pour le formulaire de demande ou de tout autre composant de tiers, cette page doit être mise à jour dans le cadre de la même modification. Une politique qui décrit un site qui n’existe plus n’en est pas une. La date en haut de la page indique quand elle a été révisée pour la dernière fois.

Statut de ce document

La présente politique est un projet préparé pour Benjamin Juhasz. La description technique du site est exacte et a été vérifiée par rapport au code source ; l’appréciation juridique n’a pas été relue par un avocat et devrait l’être avant qu’on s’y fie.