Politique de confidentialité

La présente politique couvre tout ce qui se trouve sous mbohlen.de : le site web, l'Architecture Practice Lab (« Archilab ») sur archilab.mbohlen.de, ma newsletter par e-mail et les séminaires ouverts que vous réservez auprès de moi. Cette page décrit qui est responsable, ce qui est traité, à quelle fin et sur quelle base juridique, qui le reçoit et quels sont vos droits.

1 Qui est responsable

Le responsable du traitement au sens de l'art. 4, point 7, du RGPD est :

Matthias Bohlen IT-Beratung
Matthias Bohlen
Luise-Albertz-Str. 25
53340 Meckenheim
Allemagne
E-mail : mbohlen@mbohlen.de
Téléphone : +49 (170) 772 8545

Je ne suis pas tenu de désigner un délégué à la protection des données. Pour toute question sur vos données, écrivez à l'adresse ci-dessus.

2 Visite du site web

2.1 Journaux du serveur

Chaque fois que vous ouvrez une page, votre navigateur envoie des données techniques à mon serveur web : votre adresse IP, la date et l'heure, l'adresse demandée, le statut HTTP, la quantité de données transférées, la page de provenance et le user agent de votre navigateur. Le serveur les enregistre dans des fichiers journaux. Je les utilise pour fournir le site, le sécuriser et trouver des erreurs. La base juridique est mon intérêt légitime à disposer d'un site web sûr et fonctionnel (art. 6, par. 1, point f, du RGPD).

Le site web et Archilab fonctionnent sur des serveurs que j'exploite en Allemagne et en Espagne.

Lorsque vous choisissez une langue avec le sélecteur de langue, le serveur enregistre votre choix dans un cookie nommé lang (par exemple lang=de) pendant un an, afin que mbohlen.de s'ouvre dans cette langue la prochaine fois. Il n'est écrit que lorsque vous utilisez le sélecteur et ne contient rien d'autre que le code de la langue. Son enregistrement est nécessaire pour une fonction que vous avez demandée (§ 25, al. 2, n° 2, de la loi allemande sur la protection des données dans les télécommunications et les services numériques, TDDDG) ; la base juridique de son utilisation est l'art. 6, par. 1, point f, du RGPD. Vous pouvez le supprimer à tout moment dans votre navigateur ; le site revient alors à la langue de votre navigateur.

2.3 Statistiques d'utilisation

Sur chaque page de mbohlen.de, site web et Archilab confondus, je compte les visites avec Plausible Analytics (Plausible Insights OÜ, Tartu, Estonie). Plausible ne dépose aucun cookie et n'enregistre aucune adresse IP. Il identifie une visite pendant une journée au moyen d'un hachage de l'adresse IP, du user agent et d'un sel qui change chaque jour, et ne conserve que des totaux : pages, sites de provenance, pays, appareils. Je les utilise pour voir quelles pages aident les gens et lesquelles ne les aident pas. Plausible traite les données pour mon compte sur des serveurs situés dans l'UE. La base juridique est mon intérêt légitime à comprendre comment le site est utilisé (art. 6, par. 1, point f, du RGPD).

2.4 Pages vues liées à votre contact newsletter

Les pages de mbohlen.de chargent également un script de mon système de newsletter (Mautic open source), qui fonctionne sur mes propres serveurs (aucune donnée n'est transférée à un tiers pour cela). Il enregistre les pages que vous consultez et, si vous êtes inscrit(e) à ma newsletter et avez cliqué sur un lien dans l'un de mes e-mails, relie ces pages vues à votre contact, afin que je vous envoie les e-mails qui vous intéressent vraiment. Il enregistre pour cela un identifiant sur votre appareil. Vous pouvez retirer à tout moment votre consentement au suivi, au moyen du lien de désinscription contenu dans chaque e-mail que je vous envoie, ainsi que dans les paramètres de confidentialité de votre profil utilisateur dans Archilab. Dans les deux cas, Mautic cesse le suivi.

3 Utilisation d'Archilab

3.1 Compte et connexion

Pour utiliser Archilab, vous créez un compte avec votre adresse e-mail. La connexion est gérée par Hanko, un service d'authentification de Hanko GmbH (Kiel, Allemagne), qui traite vos données de connexion pour mon compte sur des serveurs situés en Allemagne : je n'enregistre aucun mot de passe. Après la connexion, Hanko dépose un cookie de session nommé hanko qui vous maintient connecté(e). Ce cookie est techniquement nécessaire pour le service que vous avez demandé (§ 25, al. 2, n° 2, TDDDG). Le traitement des données de votre compte est nécessaire pour vous fournir Archilab (art. 6, par. 1, point b, du RGPD).

3.2 Cours, travaux remis et espaces de travail Git

Lorsque vous vous inscrivez à un cours, Archilab enregistre vos inscriptions, votre progression, les travaux que vous remettez et les retours que vous recevez. Pour chaque exercice, vous recevez un dépôt Git sur mon propre serveur Git (Gitea), et Archilab lit l'historique des commits de ce dépôt pour afficher votre activité. Ce traitement constitue le service lui-même (art. 6, par. 1, point b, du RGPD).

3.3 Relecture de vos travaux par l'IA

Si vous demandez une relecture par l'IA, Archilab envoie le code et les notes de votre travail à Anthropic PBC (États-Unis), qui exploite le modèle de langage rédigeant la relecture. Votre nom et votre adresse e-mail ne sont pas envoyés. Anthropic traite ces données pour mon compte et ne les utilise pas pour entraîner ses modèles. La base juridique est l'art. 6, par. 1, point b, du RGPD. Sur le transfert vers les États-Unis, voir la section 7.

Une relecture par l'IA est un retour sur votre travail. Elle ne décide de rien vous concernant avec un effet juridique ou un effet similaire significatif (art. 22 du RGPD).

3.4 Paiements

Les offres payantes et les places en cohorte sont vendues par l'intermédiaire de Paddle (Paddle.com Market Ltd, Londres, Royaume-Uni). Paddle est le merchant of record : vous concluez l'achat avec Paddle, et Paddle collecte vos données de paiement et de facturation et émet la facture en tant que responsable du traitement à part entière, selon sa propre politique de confidentialité (paddle.com/legal/privacy). Je ne vois jamais vos coordonnées bancaires ou de carte. Je reçois de Paddle ce dont j'ai besoin pour activer votre offre : quelle offre vous avez achetée, quand, et son statut. La base juridique est l'art. 6, par. 1, point b, du RGPD.

3.5 E-mails de service

Archilab vous envoie des e-mails qui font partie du service, comme l'avis qu'une relecture est prête ou la confirmation de la suppression de votre compte. Ils sont acheminés par mon fournisseur de messagerie, Infomaniak Network SA (Les Acacias, Genève, Suisse), qui les traite pour mon compte, et ne passent jamais par le système de newsletter. La base juridique est l'art. 6, par. 1, point b, du RGPD. Sur le transfert vers la Suisse, voir la section 7.

J'écris au sujet d'autres cours et de dates de formation. Qui reçoit ces e-mails dépend de la façon dont vous êtes venu(e) à moi, et je distingue ces deux cas :

Vous m'avez acheté quelque chose (une formation, une place en cohorte ou une offre PRO) : je peux vous informer de mes propres cours similaires à l'adresse e-mail que vous m'avez donnée pour cet achat. Cela est permis par le § 7, al. 3, de la loi allemande contre la concurrence déloyale (UWG) ; la base juridique au regard de la protection des données est mon intérêt légitime à informer mes clients d'offres similaires (art. 6, par. 1, point f, du RGPD). Je vous informe de votre droit d'opposition dans l'e-mail qui accompagne votre réservation et dans chaque newsletter ultérieure.
Dans tous les autres cas, en particulier si vous vous êtes seulement inscrit(e) à un cours gratuit, vous ne recevez la newsletter que si vous l'avez expressément demandée (art. 6, par. 1, point a, du RGPD). Il existe exactement deux endroits pour la demander : le lien de confirmation dans l'e-mail de bienvenue de votre première inscription et l'interrupteur dans vos paramètres Archilab. Aucun des deux n'est lié à l'acceptation de conditions ou à l'inscription, et une inscription gratuite ne vaut jamais consentement.

Vous pouvez arrêter la newsletter à tout moment et gratuitement : avec le lien de désinscription présent dans chaque newsletter (un clic sur la page qui s'ouvre, sans connexion), avec l'interrupteur dans vos paramètres Archilab, ou en m'écrivant. L'arrêt prend effet immédiatement. Une fois que vous vous êtes opposé(e) ou que vous avez retiré votre consentement, cela est enregistré et aucun processus automatique ne l'annule jamais, pas même une réservation ultérieure. Vous seul(e) pouvez vous réinscrire.

Comment la newsletter est envoyée. La liste de contacts est conservée dans Mautic, sur mon propre serveur en Allemagne. Elle contient votre nom, votre adresse e-mail, votre langue, ceux de mes cours auxquels vous êtes inscrit(e) ou que vous avez terminés, ainsi que votre préférence pour la newsletter avec la date et l'origine de chaque modification. Les e-mails sont acheminés par le service d'e-mail d'Amazon Web Services (Amazon SES), qui les traite pour mon compte aux États-Unis. Seuls votre nom, votre adresse e-mail et le message lui-même parviennent à Amazon ; rien de vos travaux, de vos relectures ou de votre progression. Sur le transfert, voir la section 7.

Ouvertures et clics. Mautic enregistre si vous ouvrez une newsletter et sur quels liens vous cliquez, et Archilab note quelle campagne vous a fait revenir. Je m'en sers pour voir quels e-mails sont utiles.

5 Me contacter et réserver un séminaire ouvert

Si vous m'écrivez par e-mail ou m'appelez, je traite ce que vous me dites et vos coordonnées pour vous répondre. La base juridique est l'art. 6, par. 1, point b, du RGPD si votre message concerne un contrat ou une réservation, sinon mon intérêt légitime à vous répondre (art. 6, par. 1, point f, du RGPD). Ma boîte aux lettres est hébergée par Infomaniak Network SA en Suisse, qui traite vos e-mails pour mon compte.

Si vous réservez un séminaire ouvert, je traite vos données d'inscription (nom, entreprise, adresse de facturation, e-mail) pour organiser le séminaire et le facturer (art. 6, par. 1, point b, du RGPD) et je conserve la facture comme l'exige le droit fiscal (art. 6, par. 1, point c, du RGPD). Lorsqu'un séminaire a lieu avec un formateur externe ou dans les locaux d'un partenaire, ceux-ci reçoivent les données d'inscription dont ils ont besoin pour l'organiser. Les résultats des tests et devoirs d'un séminaire ne sont évalués que sous forme anonymisée, uniquement pour améliorer la formation, et ne sont jamais transmis.

6 Qui reçoit vos données

Seuls les prestataires nommés dans la présente politique reçoivent de moi des données personnelles, chacun uniquement ce dont sa mission a besoin :

Hanko GmbH, Allemagne – connexion (sous-traitant)
Anthropic PBC, États-Unis – relecture des travaux par l'IA (sous-traitant)
Paddle.com Market Ltd, Royaume-Uni – vente et paiement des offres payantes (responsable du traitement à part entière)
Infomaniak Network SA, Suisse – ma boîte aux lettres et l'acheminement des e-mails de service d'Archilab (sous-traitant)
Plausible Insights OÜ, Estonie – statistiques d'utilisation de mbohlen.de (sous-traitant)
Amazon Web Services EMEA SARL, Luxembourg, avec traitement aux États-Unis – acheminement de la newsletter (sous-traitant)
Formateurs externes et lieux d'accueil – organisation d'un séminaire ouvert que vous avez réservé (responsables du traitement à part entière)

Chaque sous-traitant agit uniquement selon mes instructions, dans le cadre d'un contrat de sous-traitance (art. 28 du RGPD). Mautic, Gitea, la base de données et les serveurs web sont les miens et ne donnent accès à personne d'autre. Je ne vends ni ne loue de données personnelles. Je ne les communique aux autorités que lorsque la loi m'y oblige.

7 Transferts hors de l'UE

Deux des destinataires traitent des données aux États-Unis : Anthropic (le contenu d'un travail dont vous demandez la relecture) et Amazon SES (nom, adresse e-mail et la newsletter elle-même). Ces deux transferts sont encadrés par le Data Privacy Framework UE-États-Unis, au titre duquel la Commission européenne a constaté que la protection aux États-Unis est adéquate pour les entreprises certifiées (art. 45 du RGPD), et en outre par les clauses contractuelles types de la Commission européenne (art. 46, par. 2, point c, du RGPD). Tant que les données se trouvent aux États-Unis, les autorités américaines peuvent être en mesure d'y accéder. J'ai choisi ces prestataires délibérément et je réduis au minimum ce qui leur parvient.

Le Royaume-Uni, où Paddle est établi, et la Suisse, où Infomaniak est établi, bénéficient tous deux d'une décision d'adéquation de la Commission européenne (art. 45 du RGPD).

8 Durée de conservation des données

Je ne conserve les données personnelles que le temps nécessaire à la finalité pour laquelle je les ai collectées, ou le temps que la loi m'impose de les conserver. Ensuite, je les supprime. Les données encore présentes dans une sauvegarde sont tenues à l'écart de tout traitement ultérieur et supprimées lorsque la sauvegarde est écrasée.

Journaux du serveur : un an.
Le cookie lang : un an, ou jusqu'à ce que vous le supprimiez dans votre navigateur.
Statistiques d'utilisation : Plausible ne conserve que des totaux, qui ne contiennent pas de données personnelles.
Pages vues liées à votre contact newsletter : l'identifiant sur votre appareil est conservé un an ; les pages vues liées à votre contact sont supprimées en même temps que le contact.
Votre compte Archilab : les données de votre compte, vos inscriptions, votre progression, vos travaux, les retours reçus et vos dépôts Git sont conservés tant que votre compte existe. Lorsque vous faites supprimer votre compte, je les supprime, et votre contact est également retiré du système de newsletter.
Relectures par l'IA : Anthropic reçoit le contenu d'un travail uniquement pour rédiger la relecture et le supprime dans un délai de 30 jours. Si ses systèmes de sécurité automatisés signalent une demande comme contraire à sa politique d'utilisation, elle peut la conserver jusqu'à deux ans. La relecture elle-même fait partie de vos données Archilab.
Achats : ce que je reçois de Paddle au sujet de votre offre est conservé tant que votre compte existe. Paddle conserve vos données de paiement et de facturation selon sa propre politique de confidentialité.
La newsletter : votre contact est conservé tant que vous recevez la newsletter ou avez un compte Archilab. Votre préférence pour la newsletter, y compris une opposition, est conservée tant que votre compte existe. C'est délibéré : une opposition doit survivre à la campagne qui l'a déclenchée, sinon je vous écrirais de nouveau. Si vous vous opposez et n'avez pas de compte, je conserve uniquement votre adresse e-mail et l'opposition, afin de pouvoir la respecter.
E-mails et appels : le temps de vous répondre. Si votre message concerne un contrat ou une réservation, je le conserve aussi longtemps que l'exige le droit fiscal et commercial.
Séminaires ouverts : vos données d'inscription sont conservées jusqu'à ce que le séminaire ait eu lieu et ait été payé. La facture est conservée aussi longtemps que l'exige le droit fiscal, actuellement huit ans (§ 147 du code fiscal allemand, AO).

9 Vos droits

Vous avez le droit

de savoir quelles données vous concernant je traite, et d'en obtenir une copie (art. 15 du RGPD),
de faire rectifier des données erronées (art. 16 du RGPD),
de faire supprimer vos données (art. 17 du RGPD), sauf si je dois les conserver en vertu de la loi,
de faire limiter leur traitement (art. 18 du RGPD),
de recevoir les données que vous m'avez fournies dans un format courant lisible par machine (art. 20 du RGPD),
de retirer tout consentement à tout moment, avec effet pour l'avenir (art. 7, par. 3, du RGPD).

Droit d'opposition (art. 21 du RGPD). Lorsque je traite vos données sur la base de mon intérêt légitime (art. 6, par. 1, point f, du RGPD), vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière ; j'arrête alors, sauf si j'ai des motifs légitimes impérieux. Vous pouvez vous opposer à la newsletter à tout moment, sans indiquer de raison, et je ne vous envoie alors plus de newsletters.

Pour exercer l'un de ces droits, écrivez-moi à l'adresse indiquée à la section 1. Cela ne vous coûte rien.

Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données (art. 77 du RGPD), par exemple celle de votre lieu de résidence, ou celle dont je relève : Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, Allemagne, ldi.nrw.de.

10 Êtes-vous obligé(e) de fournir des données ?

Vous n'avez à fournir aucune donnée pour lire le site web. Pour utiliser Archilab, il vous faut un compte avec une adresse e-mail, et pour réserver un séminaire, j'ai besoin de vos données d'inscription ; sans elles, je ne peux pas fournir le service. Tout le reste est facultatif.