Politique de confidentialité
Principe général
MotivR est conçu selon un principe de collecte minimale des données. Le service est accessible librement, sans création de compte, sans inscription et sans authentification. Aucun profil utilisateur n'est créé, aucun historique de lettres n'est conservé, aucun suivi comportemental à des fins publicitaires n'est pratiqué.
Le responsable du traitement est : ChromaEnhance.
Données traitées, finalités et durées de conservation
2.1 Texte de la lettre de motivation
| Attribut | Détail |
|---|---|
| Nature | Texte libre saisi par l'utilisateur (max. 3 000 caractères / min. 50 mots) |
| Finalité | Transmission à l'API Groq pour production du résultat d'analyse |
| Base légale | Exécution d'un service demandé (art. 6-1-b RGPD) |
| Conservation | Aucune. Détruit côté serveur après retour du résultat. |
Note : la lettre peut contenir des informations personnelles. Ces données transitent vers Groq pour le calcul, ne sont jamais stockées par MotivR et ne sont jamais accessibles à d'autres utilisateurs.
2.2 Score de l'analyse
Valeur numérique anonyme (0–100) enregistrée en base pour alimenter le compteur public. Aucune donnée personnelle associée. Conservation indéterminée.
2.3 Vote de satisfaction
Vote binaire (like/dislike) associé à un UUID d'analyse. Une empreinte irréversible de l'IP est conservée pour l'anti-spam uniquement. Conservation indéterminée.
2.4 Adresse IP (protection contre les abus)
Sur /api/analyse, utilisée pour le rate limiting et la détection anti-bot effectués en périphérie par le Worker Cloudflare. Sur /api/feedback et /api/track-visit, appelées directement par le navigateur, une limitation équivalente est appliquée par l'application elle-même via Upstash Redis. Éphémère dans tous les cas : seule une empreinte technique non réversible de l'IP est conservée le temps de la fenêtre (de 1 minute à 1 heure selon la route), dans Cloudflare Workers KV ou dans Upstash Redis selon la route. Jamais enregistrée en clair de façon permanente.
L'adresse IP n'est jamais enregistrée de façon permanente dans la base de données.
2.5 Vérification anti-bot : Cloudflare Turnstile
Sur la page d'analyse, un jeton Turnstile à usage unique atteste que la requête provient probablement d'un humain. Ce traitement est opéré directement par Cloudflare ; MotivR ne conserve pas les signaux collectés par le widget.
2.6 Détection anti-bot par score
Sur /api/analyse, le Worker Cloudflare attribue un score de suspicion à chaque requête à partir d'en-têtes HTTP déjà transmis par tout navigateur (agent utilisateur, Accept, Accept-Language, Sec-Fetch-*). Aucun cookie, script de suivi ou fingerprint n'est utilisé. Un visiteur humain avec un navigateur standard ne déclenche aucune écriture en base ; seule une requête jugée suspecte laisse une empreinte technique éphémère (2 minutes) dans Cloudflare Workers KV.
Sous-traitance et transferts de données
Aucune donnée n'est vendue, cédée ou commercialisée à des fins publicitaires.
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Cloudflare, Inc. | Reverse proxy pour /api/analyse : rate limiting, anti-bot par score, Turnstile | États-Unis (Edge mondial) |
| Groq, Inc. | Inférence IA | États-Unis |
| Supabase, Inc. | Base de données | États-Unis / UE |
| Upstash, Inc. | Cache Redis, rate limiting applicatif | États-Unis / UE |
| Vercel Inc. | Hébergement, CDN | États-Unis (Edge mondial) |
| Google LLC | Polices de caractères | États-Unis |
Cookies et traceurs
MotivR ne dépose lui-même aucun cookie : ni de session, ni analytique, ni publicitaire. Aucun outil de mesure d'audience ni réseau publicitaire n'est intégré. Le widget Cloudflare Turnstile (anti-bot, voir section 2) peut déposer un cookie technique strictement nécessaire, géré directement par Cloudflare.
Aucun consentement n'est requis : MotivR ne dépose aucun traceur, et le cookie technique de Turnstile est exempté car strictement nécessaire à la sécurité du service.
Sécurité des données
- Reverse proxy de sécurité : les requêtes vers
/api/analysepassent par un Worker Cloudflare (détection anti-bot par score, rate limiting, Turnstile, contrôles de format) avant d'atteindre l'application. - Protection des autres routes :
/api/feedbacket/api/track-visit, appelées directement, sont protégées par une limitation de débit applicative via Upstash Redis. - Clés d'API secrètes : jamais exposées côté client.
- Filtrage du contenu : détection et blocage des contenus malveillants côté serveur.
- Assainissement des sorties : prévention XSS côté client.
- Rate limiting : protection contre les abus par IP, en périphérie du réseau pour
/api/analyse, ou au niveau applicatif pour les autres routes concernées. - En-têtes HTTP de sécurité : appliqués sur toutes les routes API.
- Contrôle d'accès en base : aucune écriture possible depuis le navigateur.
Droits des utilisateurs
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, d'opposition, de limitation et à la portabilité. Pour les exercer : MotivR@proton.me
Vous disposez également du droit d'introduire une réclamation auprès de la CNIL : cnil.fr.
Modifications de la présente politique
L'éditeur se réserve le droit de modifier la présente politique à tout moment. La date de dernière mise à jour est indiquée en haut du document.