Une structure — Mission Locale, association, entreprise — peut-elle utiliser laurentberthelier.site avec son public sans manquer au RGPD ? La réponse tient en une phrase, mais elle ne vaut que si on l'explique : d'où viennent les données, où elles partent, et ce que le site fait — ou ne fait pas — pour les limiter.
Rédigé le 22 septembre 2026, revu et complété le 23 septembre 2026 — un document de ce genre se périme, voir la section Sources en bas de page.Oui, ce site est utilisable dans une structure soucieuse du RGPD — à condition de le traiter comme ce qu'il est réellement : un outil web tiers, gratuit, dont l'architecture limite volontairement la collecte de données, mais qui n'est ni un logiciel « certifié conforme », ni un prestataire sous contrat avec votre structure. La responsabilité du traitement reste la vôtre dès que vous en faites usage avec votre public.
Ce n'est pas une esquive. C'est la façon dont le RGPD fonctionne : il ne certifie pas des sites, il encadre des traitements de données à caractère personnel décidés par un responsable de traitement. Si votre structure fait utiliser ce site à des personnes accompagnées, c'est votre structure qui décide de ce traitement — le site n'est qu'un outil parmi d'autres, comme le serait un tableur, un logiciel de suivi, ou ChatGPT ouvert dans un onglet.
Ce qui distingue ce site de la plupart des outils comparables, et qui rend la réponse plutôt favorable : il a été conçu, page après page, avec un principe de minimisation appliqué concrètement — pas de compte, pas de traceur publicitaire, rien de stocké côté serveur pour la quasi-totalité des fonctionnalités, et des rappels constants à ne pas confier de vraies données personnelles à une IA. Le reste de cette page détaille ce constat, factuellement, plutôt que de l'affirmer.
Trois acteurs sont en jeu dès qu'une personne de votre structure utilise une fonctionnalité du site qui fait intervenir une intelligence artificielle (un agent conversationnel, un quiz généré, une correction). Il est important de ne pas les confondre, parce que le RGPD attache des obligations différentes à chacun.
| Acteur | Rôle vis-à-vis du RGPD | Ce qu'il décide |
|---|---|---|
| Votre structure | Responsable de traitement | Elle décide de faire utiliser le site à son public, pour ses propres finalités (accompagnement, atelier, formation). C'est elle qui doit pouvoir justifier une base légale, informer les personnes, et répondre en cas de contrôle. |
| Laurent Berthelier (l'auteur, à titre individuel) | Éditeur du site — pas un sous-traitant contractuel | Il choisit l'architecture (ce qui est stocké ou non, quel prestataire d'IA reçoit quoi), mais il n'a signé aucun contrat de sous-traitance (article 28 RGPD) avec votre structure. Il ne consulte pas, dans l'immense majorité des cas, ce que les gens tapent : voir la cartographie ci-dessous. |
| Netlify (hébergeur), Google et Anthropic (fournisseurs d'IA) | Sous-traitants techniques de l'auteur | Ils traitent les données pour le compte du site (hébergement, réponse générée par une IA). Ce sont des sociétés américaines — voir la section Transferts hors UE. |
Vous ne pouvez pas vous appuyer sur ce site comme vous le feriez sur un logiciel métier acheté avec un contrat qui encadre le sous-traitant. Il n'existe ni contrat de sous-traitance signé, ni DPO désigné pour le site, ni registre des traitements partagé. Si votre structure a besoin de ces documents formels, il faut les demander directement à l'auteur — rien de tel n'est fourni par défaut aujourd'hui.
C'est le cœur de cette page : une cartographie vérifiée dans le code du site, pas une déclaration d'intention. Chaque ligne correspond à un mécanisme réellement présent au 23 septembre 2026.
| Ce que la personne fait | Ce qui part, et vers qui | Combien de temps |
|---|---|---|
| Lit une page, un guide, joue à un jeu de cartes ou un quiz « classique » (sans IA) | Rien au-delà du chargement normal de la page (fichiers HTML/CSS/JS/images) — Netlify, l'hébergeur | Journaux techniques d'hébergement standards |
| Fait avancer sa progression dans un jeu (score, niveaux, favoris) | Reste dans le localStorage du navigateur — jamais transmis à un serveur | Jusqu'à ce que la personne ou l'appareil l'efface |
| Envoie une idée, signale un bug, s'inscrit à la newsletter | Le texte saisi, et un e-mail si la personne le donne — Netlify Forms (tableau de bord de l'auteur) | Aucune durée de conservation publiée à ce jour — point de vigilance, voir plus bas |
| Consulte un compteur de fréquentation par secteur (page « Sites, applis & réseaux ») | Un total global par catégorie, sans identifiant individuel — Netlify Blobs (stockage technique du site) | Chiffre agrégé, pas de rattachement possible à une personne |
| Utilise n'importe quel outil du site (limite anti-abus) | Son adresse IP, réutilisée pour compter les requêtes par minute — Netlify Blobs | Fenêtre glissante de quelques minutes ; le code ne documente pas de purge automatique — point de vigilance |
| Ouvre une page protégée par un mot de passe (certaines versions internes, ou L'Atelier CV) | Un cookie de session (gate_auth, ou gate_auth_cv pour L'Atelier CV), qui ne contient aucune donnée personnelle — reste dans son navigateur | 7 jours, cookie HttpOnly; Secure; SameSite=Lax |
| Discute avec un agent conversationnel public (ex. le Guide du site, Le Coffre-fort, L'Agent Caméléon, l'Agent Menteur, le Simulateur d'Entretien, À vous de recevoir, Kintsugi, les optimiseurs de prompt en version publique, les quiz générés) | Ce qu'elle écrit part chez Google (API Gemini) pour produire la réponse | Rien n'est gardé côté site ; conservation chez Google selon ses propres conditions — voir Transferts hors UE |
| Discute avec un agent conversationnel sur une page protégée par mot de passe (les jumelles internes des agents ci-dessus, les optimiseurs privés) | Ce qu'elle écrit part chez Anthropic (API Claude) | Rien n'est gardé côté site ; conservation chez Anthropic selon ses propres conditions |
| Colle un CV, décrit sa situation ou une expérience dans un des outils de médiation à adresse non publiée, ou protégés par leur propre mot de passe comme L'Atelier CV (ceux que l'auteur ouvre encore au compte-goutte, en atelier) | Même mécanique que ci-dessus — Google ou Anthropic selon la page — avec un contenu potentiellement très identifiant (un CV réel, par exemple) | Rien n'est gardé côté site ; ces pages passent par un filtre qui bloque un e-mail ou un téléphone avant l'envoi, voir plus bas |
Une règle traverse tout le tableau : le site lui-même ne tient aucune base de données de conversations. Ce n'est pas une promesse marketing, c'est vérifiable dans le code — les fonctions qui appellent les IA transmettent le texte, reçoivent la réponse, la renvoient au navigateur, et n'écrivent rien ailleurs. La seule mémoire qui existe entre deux messages d'une même conversation est celle que le navigateur garde lui-même le temps de la session (pour que l'IA se souvienne du début de l'échange), pas une mémoire tenue par le site.
Dès qu'une personne écrit une donnée personnelle dans un agent conversationnel du site, cette donnée part vers un serveur situé, au moins en partie, aux États-Unis. C'est un transfert de données vers un pays tiers au sens du chapitre V du RGPD, et c'est le point le plus structurant de toute cette analyse.
Anthropic déclare explicitement ne pas utiliser le contenu envoyé via son API pour entraîner ses modèles (« Anthropic may not train models on Customer Content »). Un « Data Processing Addendum » RGPD est référencé et disponible pour encadrer ces traitements. Les conditions ne précisent en revanche pas, dans le document consulté, les serveurs précis utilisés ni le mécanisme exact de transfert (clauses contractuelles types ou équivalent) — à demander à Anthropic si votre structure a besoin de cette garantie noir sur blanc.
Google Cloud publie un « Data Processing Addendum » général qui couvre le RGPD (via une annexe dédiée), prévoit la suppression des données dans un délai maximal de 180 jours après la fin d'un contrat, et référence les mécanismes de transfert habituels (clauses contractuelles types, cadre UE-États-Unis de protection des données). Ce document a pu être consulté partiellement le 22 septembre 2026.
En revanche, la page qui décrit précisément les conditions spécifiques de l'API Gemini (ai.google.dev/gemini-api/terms) n'a pas pu être consultée depuis cet environnement à la date de rédaction. C'est un point important : chez plusieurs fournisseurs d'API, un usage gratuit n'est historiquement pas soumis aux mêmes garanties qu'un usage facturé — en particulier sur la question de savoir si le contenu échangé peut servir à améliorer les modèles. Le site utilise l'API Gemini en partie gratuite, en partie facturée selon les pages (le compte a été mis en facturation le 11 septembre 2026, pour des raisons de quota décrites dans la documentation technique du site, pas explicitement pour ce motif). Ne tenez donc rien pour acquis sur ce point sans avoir vous-même relu la page officielle de Google, datée du jour où vous la consultez.
Netlify est une société basée aux États-Unis. Héberger un site chez elle implique nécessairement le passage de données de connexion basiques (adresse IP, horodatage, page demandée — les journaux standards de tout hébergeur web) par son infrastructure. Netlify propose publiquement un accord de traitement des données (DPA) à ses clients professionnels ; sa page dédiée au RGPD n'a pas pu être consultée depuis cet environnement à la date de rédaction. Un tel accord, s'il existe entre l'auteur et Netlify, ne fait pas automatiquement de votre structure une partie au contrat — c'est un point à clarifier avec l'auteur si votre structure en a besoin.
Un mécanisme légal existe pour encadrer ces transferts (le cadre de protection des données UE-États-Unis, entré en vigueur en juillet 2023, ou à défaut des clauses contractuelles types), et les trois prestataires du site — Netlify, Google, Anthropic — sont des sociétés qui, dans l'ensemble du marché, proposent ce type de garanties à leurs clients professionnels. Mais aucun de ces documents n'est un contrat entre votre structure et ces prestataires : c'est l'auteur du site qui est leur client, pas vous. Votre structure reste responsable d'apprécier si ce niveau de garantie lui convient, au regard de la sensibilité de ce qu'elle laisse ses bénéficiaires écrire dans ces outils.
Ce ne sont pas des principes déclarés : chaque point ci-dessous a été vérifié dans le code du site au 23 septembre 2026.
Aucun compte utilisateur, aucun identifiant permanent. Aucune page du site ne demande une inscription pour être utilisée.
Aucun traceur publicitaire ni outil de suivi comportemental. Pas de Google Analytics, pas de pixel Meta, pas de bibliothèque de ce type dans le code du site.
Polices de caractères auto-hébergées. Contrairement à beaucoup de sites, elles ne sont pas chargées depuis les serveurs de Google Fonts — un mécanisme qui transmet sinon l'adresse IP du visiteur à Google à chaque page vue, et qui a valu des mises en demeure de la CNIL à d'autres sites en France.
La progression des jeux reste sur l'appareil. La quasi-totalité des jeux gardent leur état (score, niveaux, favoris) dans le navigateur, jamais transmis à un serveur.
La majorité des agents conversationnels ne conservent rien côté serveur. Pas de journal de conversation, pas de base de données. C'est vrai pour l'ensemble des outils de médiation du site — ceux à adresse publique comme ceux encore en rodage.
Un filtre technique bloque, sur les outils les plus sensibles, l'envoi d'un e-mail ou d'un numéro de téléphone français tant qu'il n'est pas retiré ou remplacé par une balise neutre (par exemple [EMAIL]). Ce n'est pas qu'un avertissement : sur ces pages précises, l'envoi est réellement empêché.
Plusieurs agents ont pour consigne explicite de refuser les sujets sensibles (détresse psychologique, violences, addictions, situations médicales), et de renvoyer vers un numéro d'aide (le 3114 notamment) plutôt que de continuer à échanger. Ce n'est pas une garantie technique à 100 %, mais une conception qui vise à éviter que l'outil devienne le réceptacle de données dites « sensibles » au sens de l'article 9 du RGPD.
Le site répète, sur la quasi-totalité de ses pages liées à l'IA, la consigne de ne jamais coller de vraies données personnelles, avec une méthode dédiée pour anonymiser un document avant de le faire (page « Anonymiser ses données », méthode dite des 3 R).
Les deux cookies posés par le site sont strictement fonctionnels (ouvrir une page protégée par mot de passe), techniques au sens de l'ePrivacy (HttpOnly; Secure; SameSite=Lax, 7 jours), et ne servent à aucun profilage commercial ou publicitaire.
L'honnêteté de cette page tient autant à cette section qu'à la précédente. Voici ce qui, en l'état, ne peut pas être présenté comme réglé.
Les mentions légales sont un document distinct. Identité de l'éditeur, hébergeur, propriété intellectuelle, droit applicable — c'est l'obligation posée par la LCEN, distincte du RGPD. Elles vivent sur leur propre page, mentions-legales, reliée depuis le pied de chaque page du site. Le bouton « RGPD » présent en bas de chaque page, lui, ouvre un encart pédagogique grand public — ce n'est pas un document juridique d'éditeur, et il ne distingue pas les pages entre elles. En cas de divergence, ce sont les documents dédiés (mentions légales, et cette fiche pour le RGPD) qui font foi.
Le filtre d'anonymisation est volontairement étroit. Sur les outils les plus sensibles, il ne bloque à coup sûr qu'un e-mail ou un téléphone français. Un nom, une adresse postale, une date de naissance, le nom d'un employeur peuvent passer si la personne ne fait pas elle-même l'effort de les retirer. L'outil aide, il ne remplace pas la vigilance humaine — et sur beaucoup d'agents publics (jeux, simulateurs), il n'existe même pas de filtre du tout : la consigne de ne rien coller de personnel y est seulement écrite, pas techniquement imposée.
L'adresse IP est réutilisée le temps de compter les requêtes anti-abus. Le mécanisme qui limite le nombre de messages par minute garde une trace de l'IP dans le stockage technique du site ; le code ne prévoit pas, à la date de rédaction, de purge automatique documentée de cette trace.
Les formulaires de contact n'ont pas de politique de conservation publiée. Ce qui est écrit dans « Signaler un bug », « Boîte à idées » ou la newsletter (et l'e-mail, si la personne le donne) reste dans le tableau de bord de formulaires de l'hébergeur, sans durée annoncée à ce jour.
Il n'existe pas de contrat de sous-traitance (article 28) à signer. Ce site est le projet personnel d'un conseiller en insertion professionnelle, pas une entreprise proposant un service sous contrat. Si votre structure a besoin d'un DPA formalisé, d'un point de contact DPO ou d'une clause contractuelle spécifique, il faut le demander directement à l'auteur — rien de tel n'existe par défaut.
Le public visé inclut des mineurs. Le site s'adresse en priorité aux 16-25 ans suivis en Mission Locale, ce qui inclut des personnes mineures. Il n'existe aucune vérification d'âge ni recueil de consentement parental — un usage en structure suppose que l'accompagnement reste encadré par un professionnel adulte, jamais laissé en libre-service à un mineur seul.
Ce que le site ne garde pas, un prestataire tiers peut, lui, le garder. Même quand rien n'est stocké côté site, Google et Anthropic appliquent leurs propres règles de conservation (par exemple à des fins de sécurité ou de lutte contre les abus), que ce document ne peut ni garantir ni figer dans le temps : elles peuvent changer sans que le site en soit informé.
Certaines pages restent volontairement à adresse non publiée, encore en phase de rodage. Elles ne sont pas conçues pour un accès massif et non supervisé tant que l'auteur ne les ouvre pas plus largement — un usage en structure doit rester un usage accompagné, projeté ou dicté en atelier, pas relayé en libre accès.
Ce que ce constat implique concrètement, si votre structure décide d'utiliser le site avec son public.
Le RGPD donne à toute personne un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur ses données. Appliqués à ce site, ces droits se heurtent à une particularité : il n'y a, la plupart du temps, rien à effacer côté site, puisque rien n'y est gardé. Ce qui ne veut pas dire que les droits n'existent plus — ils changent d'interlocuteur.
| Ce que la personne veut faire | À qui s'adresser |
|---|---|
| Savoir ce qu'un message envoyé à un agent conversationnel est devenu, le faire supprimer | Directement à Google ou à Anthropic (selon la page utilisée), via leurs propres outils de demande — le site n'a rien conservé à supprimer de son côté |
| Retrouver un message envoyé via « Signaler un bug », « Boîte à idées » ou la newsletter, ou le faire supprimer | L'auteur du site, qui peut consulter et retirer ces envois dans son tableau de bord de formulaires |
| S'interroger sur les compteurs de fréquentation agrégés | Sans objet : ces chiffres ne sont rattachés à aucune personne, il n'existe rien à leur nom à retrouver |
| Faire une réclamation, si une réponse ne convient pas | La CNIL (Commission nationale de l'informatique et des libertés), gratuitement, sur cnil.fr |
Pour une structure : ces droits s'exercent d'abord vis-à-vis de votre traitement (le fait d'avoir orienté la personne vers l'outil), pas seulement vis-à-vis du site. C'est vous qui devez pouvoir répondre à une personne accompagnée qui vous demanderait « qu'avez-vous fait de ce que j'ai écrit ? » — la réponse honnête, dans l'immense majorité des cas sur ce site, est « rien n'a été gardé de notre côté, et voici où ça a transité ».
Le RGPD ne certifie pas des sites, il encadre des traitements. La question juste est : « ce site permet-il à ma structure de rester conforme quand elle l'utilise ? » — et la réponse est oui, à condition de suivre la check-list de cette page. Il n'existe aucun label « site conforme RGPD » reconnu officiellement en France ; méfiez-vous de tout outil qui prétendrait le contraire.
Non, de votre côté. Les seuls cookies posés par le site sont strictement fonctionnels (ouvrir une page protégée par mot de passe) : la réglementation ePrivacy les exempte de consentement préalable, exactement comme un cookie de panier d'achat. Il n'y a rien à ajouter sur vos propres pages ou supports pour cette raison.
Le site lui-même ne l'interdit pas et s'adresse largement à ce public (16-25 ans en Mission Locale). Le point de vigilance n'est pas technique : c'est l'encadrement. Un usage supervisé par un professionnel, en atelier, avec les consignes de la check-list, est très différent d'un accès laissé en libre-service.
Rien dans le code du site n'indique une monétisation des données (pas de publicité ciblée, pas de revente à des tiers, aucun mécanisme de ce type identifié). Les frais réels du site — l'hébergement, les appels aux API d'intelligence artificielle — sont assumés par l'auteur, avec des plafonds de dépense fixés pour éviter tout dérapage financier.
Non. C'est une note d'information technique, rédigée par transparence et vérifiée dans le code du site à la date indiquée. Elle ne remplace ni un avis juridique, ni une analyse d'impact relative à la protection des données (AIPD) que votre structure jugerait nécessaire de mener elle-même, ni un contrat.
Pour situer concrètement de quoi il est question plus haut : voici les outils du site qui font transiter du texte tapé par un visiteur vers une intelligence artificielle tierce. Les adresses non publiées sont volontairement listées sans lien — elles sont encore en phase de rodage, données à la main en atelier par l'auteur.
Le 🧭 Guide du site — le bouton flottant présent en bas à gauche de la quasi-totalité des pages, y compris celle-ci — répond aux questions sur le site lui-même. Ce qu'on lui écrit part chez Google, exactement comme pour les agents listés ci-dessous. Il n'a pas de page propre : c'est un composant partagé, pas une destination qu'on visite volontairement.
C'est le seul outil du site protégé par un mot de passe qui lui est propre — ni le mot de passe général des pages internes (celui qui ouvre les versions Anthropic ci-dessus), ni une simple adresse non annoncée comme les autres outils de cette liste. La raison est le coût : c'est l'agent le plus gourmand du site, jusqu'à une soixantaine d'échanges pour un atelier complet. Techniquement, il continue de passer par Google (pas Anthropic) et pose un cookie de session distinct (gate_auth_cv) du cookie général (gate_auth) — mais la garantie pour votre structure est la même : personne n'y accède sans le mot de passe correspondant.
Cette page a été écrite en lisant le code source du site (fonctions serveur, formulaires, cookies, dépendances) plutôt qu'en décrivant une intention. Les points qui n'ont pas pu être vérifiés en direct auprès des prestataires sont marqués comme tels plutôt que devinés.
netlify/functions/), formulaires (index.html), cookies (gate-login.js, _shared/espaces.js), dépendances (package.json) — dépôt du site, revérifié le 23 septembre 2026 (première lecture le 22)Une relecture contre le code a trouvé deux oublis dans la cartographie de la veille : le Guide du site (le bouton flottant présent sur presque toutes les pages) n'était mentionné nulle part, alors qu'il transmet lui aussi du texte à Google ; et L'Atelier CV, présenté comme une simple adresse non publiée, est en réalité protégé par son propre mot de passe depuis le 16 septembre 2026 — une garantie plus forte que ce que la page disait. Les deux archives figées des optimiseurs (qui consomment, elles aussi, l'API Claude payante) et le nouvel agent L'Aimant ont été ajoutés à la liste. C'est exactement ce que la section suivante annonce : ce document se périme, et il a fallu le corriger un jour après sa première mise en ligne.
Une conversation avec l'auteur, une évolution des conditions d'un prestataire, ou une nouvelle fonctionnalité du site peuvent rendre un point de cette page obsolète du jour au lendemain. Elle sera revue à intervalles réguliers ; en cas de doute sur un point précis, mieux vaut vérifier directement à la source citée que de se fier uniquement à ce résumé.
Le Règlement Général sur la Protection des Données est une loi européenne qui protège vos informations personnelles depuis mai 2018.
Tout ce qui permet de vous identifier directement ou indirectement : • Nom, prénom, adresse • Numéro de téléphone, email • Adresse IP, cookies de navigation • Photo, empreinte digitale • Numéro de sécurité sociale • Données bancaires • Même votre voix ou votre démarche !
Au quotidien : • Un site qui vous demande d'accepter les cookies → RGPD • Un email « Gérer mes préférences / Me désinscrire » → RGPD • Une appli qui demande l'accès à vos contacts → RGPD En entreprise : • Votre employeur ne peut pas surveiller vos emails perso • Une entreprise doit supprimer votre CV si vous le demandez • Un recruteur ne peut pas partager votre profil sans consentement Sanctions : • Jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial • Amazon : 746 M€ d'amende (2021) • Meta/Facebook : 1,2 Md€ (2023)
• Lisez les politiques de confidentialité (au moins en diagonale) • Utilisez des mots de passe forts et uniques • Activez l'authentification à 2 facteurs • Refusez les cookies non essentiels • Vérifiez les permissions des applis sur votre téléphone • Exercez vos droits auprès de la CNIL si besoin : cnil.fr
Le RGPD vous donne le contrôle sur vos données personnelles. Toute entreprise qui collecte vos informations (nom, email, téléphone, localisation, historique de navigation…) doit respecter des règles strictes.
1. Droit d'accès — Demander à une entreprise quelles données elle a sur vous 2. Droit de rectification — Corriger des infos fausses ou incomplètes 3. Droit à l'effacement ("droit à l'oubli") — Demander la suppression de vos données 4. Droit à la portabilité — Récupérer vos données dans un format lisible 5. Droit d'opposition — Refuser l'utilisation de vos données pour du marketing 6. Droit à la limitation — Geler temporairement l'utilisation de vos données 7. Droit à l'information — Être informé clairement de ce qu'on fait de vos données 8. Droit de ne pas faire l'objet d'une décision automatisée — Un humain peut intervenir