Politique de confidentialité

Qui nous sommes

ShipCertify est une société du Seaway Group. L’entité juridique immatriculée, son adresse et son numéro d’immatriculation restent à préciser et seront indiqués ici avant publication. Renseignements : info@shipcertify.com.

Ce que nous collectons

Uniquement ce que vous saisissez dans le formulaire de demande de devis : nom du navire et numéro IMO, port et dates, le périmètre d’intervention souhaité, ainsi que vos nom, société, adresse électronique et téléphone. Nous ne constituons aucun profil de visiteur, nous ne relevons aucune empreinte numérique de votre navigateur et nous ne déposons aucun cookie publicitaire.

Les adresses IP, le journal d’accès et le limiteur de fréquence

Une adresse IP est une donnée à caractère personnel, et le présent site en traite une à deux endroits. Le journal d’accès nginx enregistre l’adresse à l’origine de chaque requête, l’heure, la page demandée, le code de réponse et la chaîne d’agent utilisateur du navigateur ; sans ce journal, un serveur ne peut être diagnostiqué lorsqu’il tombe en panne ni défendu lorsqu’il est attaqué. Il fait l’objet d’une rotation chaque nuit, est compressé le lendemain et supprimé dix jours après son écriture — assez longtemps pour remonter un incident sur une semaine de trafic, assez peu pour qu’aucune adresse ne demeure sur le serveur au-delà. Rien n’est copié hors du serveur, et aucune adresse qui y figure n’est rapprochée d’une demande, d’un nom ni d’un autre journal. Le formulaire de devis compte les envois séparément — cinq au maximum en dix minutes depuis une même adresse, et trois en une heure depuis une même adresse électronique — afin qu’un script ne puisse pas saturer la boîte aux lettres des coordinateurs ; ces compteurs résident dans la mémoire du processus en cours d’exécution, ne sont jamais écrits sur disque et disparaissent à la fermeture de la fenêtre ou au redémarrage du service. L’adresse n’est pas tronquée, elle n’est pas conservée avec votre demande et elle ne sert ni à vous identifier ni à constituer un profil. Le formulaire comporte également un champ masqué qui doit rester vide ainsi que l’heure à laquelle la page a été rendue, l’un et l’autre n’existant que pour rejeter les envois automatisés.

Comment les visites de ce site sont comptabilisées

Ce site comptabilise son propre trafic, sur son propre serveur, et l’étendue de ce qui est enregistré dépend du choix que vous avez fait dans le bandeau cookies. Pour chaque visite, quel que soit votre choix, nous enregistrons la date et l’heure, la page, le pays, la région et la ville, le type d’appareil, le système d’exploitation ainsi que le navigateur et sa version. La localisation et l’appareil ne vous sont pas demandés et ne sont pas lus depuis votre appareil : la localisation est déduite de votre adresse IP, et l’appareil, le navigateur et la version sont ce que votre navigateur déclare de lui-même dans la requête. Votre adresse IP sert à cette recherche, puis elle est tronquée avant que quoi que ce soit ne soit consigné : la dernière partie d’une adresse IPv4, ou tout ce qui suit les trois premiers groupes d’une adresse IPv6, est remplacé par des zéros, et l’adresse complète est supprimée. L’adresse complète n’est jamais conservée dans les enregistrements de mesure d’audience et ne quitte jamais ce serveur. Rien n’est écrit sur votre appareil à cette fin, aucun identifiant n’est créé, et deux pages que vous consultez ne peuvent pas être reconnues comme relevant d’une même visite. Si vous avez accepté la mesure d’audience dans le bandeau cookies, trois éléments supplémentaires sont enregistrés : une référence aléatoire est conservée dans le stockage de session (session storage) de votre navigateur afin que les pages d’une même visite puissent être lues dans l’ordre, les clics sur les liens et les boutons sont enregistrés sous la forme d’un nom court fixe désignant l’élément cliqué, et la largeur de la fenêtre de votre navigateur est enregistrée par paliers approximatifs. Cette référence n’est pas un cookie et n’est pas conservée : votre navigateur l’élimine lorsque vous fermez l’onglet, de sorte qu’elle ne peut pas relier une visite d’aujourd’hui à une visite de la semaine prochaine. Ce n’est pas votre nom, ce n’est pas un compte, et elle n’est jamais rapprochée d’une demande de devis. Certaines informations ne sont jamais enregistrées, en aucun cas. Tout ce qui suit le point d’interrogation dans une adresse web est retiré avant que l’adresse ne soit consignée : ainsi, un terme de recherche, une référence ou une adresse e-mail ayant figuré dans un lien ne peut pas parvenir à ces enregistrements. Le texte d’un lien ou d’un bouton n’est jamais enregistré, seul l’est le nom court fixe. La provenance est réduite au seul nom du site, sauf si vous avez accepté la mesure d’audience. Les requêtes provenant de robots d’exploration automatisés sont écartées plutôt que comptabilisées, de même que les requêtes provenant de notre propre serveur. Aucune autre société n’intervient. Il n’y a aucun service de mesure d’audience, aucun gestionnaire de balises et aucun pixel de suivi sur aucune page : la comptabilisation est assurée par notre propre logiciel et les enregistrements restent dans notre propre base de données. La recherche du nom de lieu s’appuie sur un fichier de base de données conservé sur ce serveur, de sorte que votre adresse IP n’est envoyée nulle part pour être résolue. Ce fichier est la base IP to City Lite de DB-IP, utilisée sous licence Creative Commons Attribution 4.0. La ville qu’elle indique est le centre de la ville à laquelle le réseau est rattaché : il s’agit d’une approximation établie à partir du réseau, et non d’une mesure relevée sur votre appareil, et c’est souvent la ville de votre fournisseur d’accès à Internet plutôt que la vôtre. Ce site ne demande jamais à votre navigateur votre localisation réelle. La base légale de la comptabilisation effectuée pour chaque visite est notre intérêt légitime à savoir quelles pages de notre propre site sont consultées et depuis quels pays, afin de pouvoir le maintenir et l’améliorer. Votre consentement n’est pas demandé pour cela, car rien n’est stocké sur votre appareil et aucun enregistrement ne vous identifie. Les enregistrements supplémentaires décrits ci-dessus n’ont lieu que là où vous y avez consenti, et vous pouvez retirer ce consentement à tout moment depuis la page cookies : l’enregistrement détaillé cesse à compter de cet instant. Les enregistrements de visite individuels sont supprimés six mois après leur inscription. Ce qui est conservé au-delà est un ensemble de totaux quotidiens — combien de vues chaque page a reçues, depuis quel pays, sur quel type d’appareil et dans quel navigateur — sans aucune adresse, aucune référence et aucun parcours. Ces totaux sont conservés sans limite de durée afin que nous puissions comparer une année à une autre. Seul notre propre personnel peut y accéder ; rien de tout cela n’est vendu, partagé ni utilisé pour vous adresser de la publicité.

Pourquoi nous pouvons les utiliser

Pour une demande de devis, la base légale est l’exécution de mesures précontractuelles prises à votre demande, ainsi que notre intérêt légitime à répondre à une sollicitation commerciale. Votre consentement explicite est en outre recueilli au moment de l’envoi, raison pour laquelle la case n’est jamais pré-cochée.

Qui d’autre y a accès

Les sous-traitants ci-après sont les seuls tiers à intervenir dans le traitement de ces données.

Namecheap Private Email, qui achemine la notification jusqu'à nous et l'accusé de réception jusqu'à vous.

Telegram, qui achemine une notification vers notre propre canal de discussion des opérations dès qu’une visite commence, afin qu’une demande puisse être traitée par une personne qui sait déjà quelles pages ont été consultées. Le message contient la ville et le pays auxquels l’adresse est rattachée, le réseau dont elle relève, le navigateur et l’appareil, la page d’arrivée, la provenance de la visite, ainsi que l’adresse IP elle-même. Telegram se trouve en dehors du Royaume-Uni et de l’Espace économique européen (EEE) ; ce transfert repose donc sur des garanties appropriées et non sur une décision d’adéquation, et il est fondé sur notre intérêt légitime à savoir qui s’informe sur nos services. Vous pouvez vous y opposer à l’adresse de contact ci-dessous.

ipwho.is, à qui l’on demande à quelle ville et à quel réseau appartient une adresse IP, pour cette seule notification. L’adresse lui est transmise sur une connexion chiffrée et n’y est pas conservée par nos soins. C’est la seule recherche qui quitte ce serveur : les noms de lieux figurant dans le relevé des visites, eux, proviennent toujours du fichier de base de données conservé ici.

Notre propre serveur, hébergé chez IONOS à Londres, depuis lequel ce site est diffusé.

Il n’existe aucun service de mesure d’audience tiers, aucun gestionnaire de balises et aucun script tiers sur aucune page de ce site. Les visites sont comptabilisées par notre propre logiciel sur ce serveur, et la recherche du nom de lieu s’appuie sur un fichier de base de données conservé ici.

Durée de conservation

Une demande de devis réside dans la messagerie de nos coordinateurs, selon notre durée de conservation habituelle de la correspondance commerciale. Ce site ne comporte aucune base de données — votre envoi n’y est enregistré dans aucune.

Où vont vos données

Notre serveur se trouve à Londres. Nos coordinateurs travaillent depuis des bases de service en Türkiye, en Bulgarie, en Roumanie et au Royaume-Uni ; une demande peut donc être consultée en dehors du Royaume-Uni et de l’Espace économique européen (EEE). Les transferts hors de ces territoires sont effectués sous les garanties appropriées au pays concerné.

Loi turque n° 6698 (KVKK)

L’entité opérationnelle étant établie en Türkiye, la loi n° 6698 relative à la protection des données à caractère personnel s’applique à ce traitement au même titre que le UK GDPR (le RGPD britannique) et le EU GDPR (le RGPD de l’Union) ; les trois se recoupent mais ne forment pas un seul et même régime, et un droit ouvert par l’un n’est pas automatiquement un droit ouvert par un autre. Au titre de l’article 11, vous pouvez savoir si vos données à caractère personnel font l’objet d’un traitement, demander des informations si tel est le cas, connaître la finalité du traitement et savoir si elles sont utilisées conformément à celle-ci, connaître les tiers en Türkiye et à l’étranger auxquels elles sont transférées, faire rectifier des données incomplètes ou inexactes et faire notifier cette rectification à ces tiers, demander l’effacement ou la destruction au titre de l’article 7 ainsi que la notification de cette opération, vous opposer à un résultat vous concernant obtenu par une analyse exclusivement automatisée, et demander réparation du préjudice causé par un traitement illicite. La demande nous est adressée en premier lieu, par écrit — à compliance@shipcertify.com ou à l’adresse du siège social figurant dans la rubrique contact ci-dessous — et il y est répondu dans un délai de trente jours au plus tard. En cas de rejet, de réponse insuffisante ou d’absence de réponse dans le délai, une plainte peut être portée devant le Comité de protection des données à caractère personnel (Kişisel Verileri Koruma Kurulu), organe décisionnel de l’Autorité de protection des données à caractère personnel — dans les trente jours suivant la connaissance de notre réponse et, en tout état de cause, dans les soixante jours à compter de la date de la demande. Celui des trois régimes qui prévaut pour une demande donnée découle du responsable du traitement désigné en tête de la présente page.

Représentants dans l’Union européenne et au Royaume-Uni

L’article 27 du EU GDPR impose au responsable du traitement établi hors de l’Union qui offre des services à des personnes se trouvant dans l’Union de désigner par écrit un représentant sur ce territoire, et le UK GDPR impose la même obligation pour le Royaume-Uni. Aucune de ces deux obligations ne pèse sur nous, et la raison tient au lieu depuis lequel nous travaillons. Nous disposons de bases de service à Varna, en Bulgarie, et à Constanța, en Roumanie — des établissements situés dans l’Union — ainsi que d’un siège social et d’une base de service à Londres. Le traitement effectué dans le cadre des activités de ces établissements relève de l’article 3, paragraphe 1, de chacun des deux règlements, le fondement applicable au responsable du traitement établi sur le territoire, tandis que l’article 27 ne vise que le responsable du traitement relevant, lui, de l’article 3, paragraphe 2. Il n’y a donc aucun représentant à désigner et aucun n’est nécessaire : une demande émanant de l’Union ou du Royaume-Uni est traitée directement par nous, à l’adresse de contact ci-dessous, dans les délais exposés ci-dessus.

Le portail client est un système distinct

portal.shipcertify.com est une application différente, sur un nom d’hôte différent, avec sa propre base de données, ses propres identifiants, sa propre base légale et sa propre déclaration de confidentialité ; la présente déclaration ne le couvre pas et la sienne ne couvre pas le présent site. Une demande de devis soumise ici n’y est jamais inscrite — le site public ne dispose d’aucune voie d’accès à cette base de données. Demander un devis ne crée donc pas de compte sur le portail. Si un accès au portail vous est accordé, il s’agit d’une étape distincte, assortie de ses propres conditions et de son propre consentement, et vous en seriez informé le moment venu.

Comment ces données sont protégées

Le site n’est servi qu’en TLS, sur un certificat qui se renouvelle automatiquement, et le HTTP en clair y est redirigé. L’application publique est déployée sans chaîne de connexion à une base de données et sans identifiant du portail : la compromission de ce serveur web n’atteint donc aucun dossier client, puisqu’il n’en contient aucun. Elle détient un unique secret de session signée, utilisé pour une seule connexion administrative par laquelle notre propre personnel gère les photographies du présent site ; cette connexion ne touche à aucune demande. Une demande de devis est adressée aux boîtes aux lettres fonctionnelles qui doivent y répondre et n’est pas diffusée au-delà des coordinateurs et du personnel chargé de la documentation qui la traitent. Ces boîtes ne sont ouvertes que par des comptes individuels nominatifs — il n’existe ni mot de passe partagé ni identifiant générique —, l’accès est accordé par un directeur des opérations, l’authentification à deux facteurs est imposée sur tout compte pouvant y accéder, la liste des personnes disposant d’un accès est revue tous les six mois, et un compte est fermé le jour même du départ de la personne. Une violation de données à caractère personnel affectant ce site serait notifiée à l’autorité de contrôle compétente dans les meilleurs délais et, dans la mesure du possible, dans les soixante-douze heures après en avoir pris connaissance, lorsque la violation est susceptible d’engendrer un risque pour vous, et vous serait communiquée directement lorsque ce risque est élevé. L’autorité compétente découle du responsable du traitement désigné en tête de la présente page.

Absence de prise de décision automatisée

There is no profiling on this site, and no automated decision that produces a legal effect for you or similarly significantly affects you. Every quotation is priced by a person and every attendance is planned by a person. The only automated control is the rate limiter described above: it counts submissions from an address over a short window and decides nothing about you, only whether the next submission inside that window is accepted. A submission it refuses can be sent again once the window closes, or given to the hotline straight away.

Vos droits

Vous pouvez demander quelles données nous détenons à votre sujet, en demander la rectification ou l’effacement, vous opposer à leur traitement ou retirer votre consentement. Écrivez à info@shipcertify.com et nous vous répondrons. Si vous n’êtes pas satisfait, vous pouvez introduire une réclamation auprès de votre autorité nationale de protection des données.

Nous contacter

info@shipcertify.com, ou les numéros des bureaux indiqués sur la page de contact. Un interlocuteur nommément désigné pour la protection des données sera indiqué ici à la validation.