Document juridique

Politique de protection des données personnelles

Version 1.1 — en vigueur depuis le 23 octobre 2026

Version archivée, remplacée le 28 octobre 2026. Consulter la version en vigueur

Article 1 — Objet et champ d’application

La présente politique informe les personnes concernées des Traitements de Données personnelles mis en œuvre par l’Éditeur dans le cadre du Service, conformément aux articles 13 et 14 du RGPD. Elle s’applique au Site. Les Traitements propres à l’Extension sont précisés par sa politique de confidentialité.

Article 2 — Définitions

Dans le présent document, les termes suivants, employés avec une majuscule, ont la signification ci-dessous, au singulier comme au pluriel :

« Éditeur »: la société AXO-LAB, société par actions simplifiée unipersonnelle (SASU) au capital de 5 000 euros, immatriculée au registre du commerce et des sociétés de Cusset sous le numéro 103 310 017, qui édite et exploite le Site et le Service en vertu d’une licence non exclusive consentie par les Titulaires. L’Éditeur n’est pas titulaire des droits de propriété intellectuelle sur le Service.
« Service »: le service d’information dénommé « Recto », accessible par le Site et par l’Extension, qui présente, pour chaque site d’information, une Carte composée d’Informations.
« Site »: le site internet accessible à l’adresse www.recto-medias.fr et ses sous-domaines.
« Extension »: l’extension pour navigateur internet éditée par l’Éditeur sous le nom « Recto ».
« Utilisateur »: toute personne qui accède au Service, quelle que soit sa qualité.
« Carte »: la fiche que le Service consacre à un site d’information et qui réunit les Informations le concernant.
« Information »: tout fait figurant sur une Carte, repris d’un registre public ou d’une publication de l’éditeur du site concerné, accompagné de sa source et de sa date.
« Donnée personnelle »: toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l’article 4.1 du RGPD.
« Traitement »: toute opération appliquée à des Données personnelles, telle que la collecte, la conservation, la consultation, la communication ou l’effacement, au sens de l’article 4.2 du RGPD.
« Cookie »: tout traceur, notamment un fichier texte, déposé ou lu sur le terminal de l’Utilisateur lors de la consultation du Site.
« RGPD »: le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
« Loi Informatique et Libertés »: la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Les notions de « responsable du traitement » et de « sous-traitant » s’entendent au sens de l’article 4, points 7 et 8, du RGPD.

Article 3 — Responsable du traitement

Le responsable de l’ensemble des Traitements décrits par la présente politique est la société éditrice du Service, AXO-LAB, société par actions simplifiée unipersonnelle (SASU) au capital de 5 000 euros, immatriculée au registre du commerce et des sociétés de Cusset sous le numéro 103 310 017, dont le siège est situé Le Point Commun, place Claude Wormser, 03000 Avermes, France. Elle peut être jointe à l’adresse clement.pandreau@axo-lab.fr.

Toute question relative aux Données personnelles, et toute demande d’exercice des droits, peut être adressée au point de contact du projet, par courrier électronique à contact@recto-medias.fr, ou par courrier postal à l’adresse du siège.

L’Éditeur n’a pas désigné de délégué à la protection des données, la désignation n’étant pas obligatoire au regard des Traitements qu’il met en œuvre.

Article 4 — Traitements mis en œuvre

Le tableau ci-dessous décrit chacun des Traitements mis en œuvre, avec sa finalité, sa base légale au regard de l’article 6, paragraphe 1, du RGPD, les catégories de données et de personnes concernées, l’origine des données lorsqu’elles ne sont pas collectées auprès de la personne, leurs destinataires et leur durée de conservation.

Traitements de données personnelles mis en œuvre
Traitement et finalité	Base légale	Données	Personnes concernées et source	Destinataires	Conservation
Journaux techniques du serveur. Assurer le fonctionnement et la sécurité du Site, détecter les usages abusifs et diagnostiquer les incidents.	Intérêt légitime de l’Éditeur à assurer la sécurité et le bon fonctionnement du Site (article 6.1.f du RGPD).	adresse IP ; date et heure de la requête ; adresse de la page demandée ; type de navigateur et de système (en-tête User-Agent).	Toute personne qui consulte le Site.	Personnes habilitées de l’Éditeur.	Douze mois au plus.
Mesure d’audience (Matomo). Établir des statistiques de fréquentation agrégées pour améliorer le Site. Les données ne sont ni recoupées avec d’autres traitements, ni transmises à des tiers.	Avant tout choix, la mesure fonctionne sans cookie, dans les conditions d’exemption de consentement prévues par la CNIL, sur le fondement de l’intérêt légitime de l’Éditeur (article 6.1.f du RGPD). Le dépôt des cookies de mesure d’audience repose sur votre consentement (article 6.1.a du RGPD). En cas de refus, aucune mesure n’est effectuée.	adresse IP tronquée de deux octets ; pages consultées, sans leurs paramètres, date et durée de la visite ; liens externes suivis et fichiers téléchargés ; site d’origine ; type de navigateur, de système et taille d’écran ; identifiant de visiteur, seulement si vous acceptez les cookies de mesure d’audience.	Toute personne qui consulte le Site.	Personnes habilitées de l’Éditeur. Matomo est installé sur les serveurs de l’Éditeur.	Vingt-cinq mois au plus.
Suivi des erreurs (GlitchTip). Détecter et corriger les erreurs techniques du Site.	Intérêt légitime de l’Éditeur à assurer le bon fonctionnement du Site (article 6.1.f du RGPD).	description technique de l’erreur ; adresse de la page concernée, sans ses paramètres ; type de navigateur et de système ; date et heure ; temps de chargement, pour 1 % des navigations.	Toute personne qui consulte le Site au moment d’une erreur.	Personnes habilitées de l’Éditeur. GlitchTip est installé sur les serveurs de l’Éditeur.	Quatre-vingt-dix jours.
Gestion de vos choix en matière de cookies. Enregistrer vos choix relatifs aux cookies et pouvoir en justifier.	Respect d’une obligation légale (article 6.1.c du RGPD), découlant de l’article 82 de la loi Informatique et Libertés et de l’article 7.1 du RGPD.	choix par catégorie de cookies ; date du choix ; version de la politique cookies.	Toute personne qui exprime un choix dans le bandeau de gestion des cookies.	Aucun : ces informations restent dans votre navigateur, dans le cookie recto_consentement.	Six mois.
Demandes adressées par e-mail. Répondre aux demandes adressées à l’Éditeur, y compris les demandes d’exercice des droits.	Intérêt légitime de l’Éditeur à répondre aux demandes qui lui sont adressées (article 6.1.f du RGPD) ; pour les demandes d’exercice des droits, respect d’une obligation légale (article 6.1.c du RGPD).	adresse e-mail ; nom, si vous l’indiquez ; contenu des messages échangés.	Toute personne qui écrit à l’Éditeur.	Personnes habilitées de l’Éditeur.	Trois ans à compter du dernier échange.
Relations avec les partenaires, financeurs et soutiens du projet. Identifier les partenaires, financeurs et soutiens, effectifs ou potentiels, du projet Recto, les contacter, puis entretenir et suivre les échanges avec eux.	Intérêt légitime de l’Éditeur à rechercher et à entretenir les partenariats, financements et soutiens nécessaires au projet (article 6.1.f du RGPD). Vous pouvez vous opposer à tout moment à ce Traitement, sans avoir à motiver votre demande.	nom et prénom ; fonction ; organisme ; coordonnées professionnelles (adresse e-mail, téléphone, adresse postale) ; historique des échanges.	Contacts professionnels des organismes partenaires, financeurs ou soutiens, effectifs ou potentiels, du projet. Source : Informations professionnelles rendues publiques, notamment par l’organisme de la personne, ou communiquées par la personne elle-même.	Personnes habilitées de l’Éditeur. L’outil de gestion des contacts (Twenty) est installé sur les serveurs de l’Éditeur.	Trois ans à compter de la collecte des données ou du dernier contact émanant de la personne.

La consultation du Site n’exige aucune création de compte. Aucune décision fondée exclusivement sur un Traitement automatisé, y compris le profilage, au sens de l’article 22 du RGPD, n’est prise à l’égard des Utilisateurs.

Article 5 — Destinataires et sous-traitants

Les Données personnelles sont destinées aux seules personnes habilitées de l’Éditeur, dans la limite de leurs attributions. Elles ne sont ni vendues, ni louées, ni cédées.

Au sein de l’Éditeur, les Données personnelles ne sont accessibles qu’aux personnes habilitées, à savoir le Président d’AXO-LAB et les membres de l’équipe du projet Recto, dans la limite de ce que leurs attributions exigent. Ces personnes agissent sous l’autorité de l’Éditeur, au sens de l’article 29 du RGPD : elles ne traitent les données que sur ses instructions et sont tenues à la confidentialité.

L’Éditeur fait appel aux sous-traitants suivants, liés par un contrat conforme à l’article 28 du RGPD et auprès desquels les comptes sont ouverts à son nom :

OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix : hébergement des serveurs et des données ; lieu du traitement : France.
Brevo SAS, 9-17 rue Salneuve, 75017 Paris : envoi des courriers électroniques transactionnels du Service (invitations, connexion, réinitialisation du mot de passe) ; lieu du traitement : Union européenne (France et Belgique).
Mistral AI, 15 rue des Halles, 75001 Paris : extraction du texte de pages publiques des sites d’information ; lieu du traitement : Union européenne.

La base de données et l’authentification du Service (Supabase), l’outil de mesure d’audience (Matomo), l’outil de suivi des erreurs (GlitchTip) et l’outil de gestion des contacts (Twenty) sont installés sur les serveurs de l’Éditeur, hébergés par OVH SAS. Leurs éditeurs n’ont pas accès aux données et n’ont donc pas la qualité de sous-traitant.

Article 6 — Transferts hors de l’Union européenne

Les serveurs de l’Éditeur sont situés en France (datacenter OVHcloud de Gravelines).

Brevo SAS, 9-17 rue Salneuve, 75017 Paris : accès possibles depuis des pays tiers par des sous-traitants ultérieurs de Brevo (Google Cloud Platform, Cloudflare, Zendesk, Omni) et des entités de son groupe situées aux États-Unis et en Inde, encadrés par des clauses contractuelles types de la Commission européenne, le cadre de protection des données UE–États-Unis et des règles d’entreprise contraignantes.
Mistral AI, 15 rue des Halles, 75001 Paris : transferts possibles hors de l’Union européenne, notamment vers les États-Unis, par des sous-traitants ultérieurs de Mistral AI (CrowdStrike, Cloudflare) et des entités de son groupe, ainsi que, selon la fonctionnalité utilisée, par d’autres sous-traitants ultérieurs (Google pour le point d’accès américain de l’API, Brave pour la recherche sur le web), encadrés par une décision d’adéquation de la Commission européenne ou par ses clauses contractuelles types.

Article 7 — Durées de conservation

Les Données personnelles sont conservées pendant la durée strictement nécessaire à la finalité poursuivie, puis supprimées ou rendues anonymes.

Durées de conservation et leur justification
Traitement	Durée	Justification
Journaux techniques du serveur	Douze mois au plus.	Durée nécessaire pour analyser un incident de sécurité découvert tardivement.
Mesure d’audience (Matomo)	Vingt-cinq mois au plus.	Durée maximale admise par la CNIL pour les données de mesure d’audience, qui permet de comparer deux années consécutives.
Suivi des erreurs (GlitchTip)	Quatre-vingt-dix jours.	Durée nécessaire pour corriger une erreur et vérifier qu’elle ne se reproduit pas.
Gestion de vos choix en matière de cookies	Six mois.	Durée de conservation des choix que la CNIL présente comme une bonne pratique, à l’issue de laquelle le choix est redemandé.
Demandes adressées par e-mail	Trois ans à compter du dernier échange.	Durée permettant de répondre à une réclamation ultérieure liée à la demande.
Relations avec les partenaires, financeurs et soutiens du projet	Trois ans à compter de la collecte des données ou du dernier contact émanant de la personne.	Durée prévue par le référentiel de la CNIL relatif aux traitements mis en œuvre aux fins de gestion des activités commerciales, pour les données des prospects.

Article 8 — Sécurité

Conformément à l’article 32 du RGPD, l’Éditeur met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment le chiffrement des échanges entre le navigateur et le Site, l’hébergement des données en France, la limitation des accès aux seules personnes habilitées, ainsi que des sauvegardes et une journalisation des accès techniques.

Article 9 — Droits des personnes concernées

9.1 Contenu des droits

Dans les conditions et limites prévues par les articles 15 à 22 du RGPD, toute personne concernée dispose :

du droit d’accès à ses Données personnelles et à des informations sur leur Traitement (article 15) ;
du droit de rectification des données inexactes ou incomplètes (article 16) ;
du droit à l’effacement, notamment lorsque les données ne sont plus nécessaires ou ont fait l’objet d’un Traitement illicite (article 17) ;
du droit à la limitation du Traitement, notamment pendant la vérification de l’exactitude des données (article 18) ;
du droit à la portabilité des données qu’elle a fournies, lorsque le Traitement repose sur son consentement ou sur un contrat et est effectué à l’aide de procédés automatisés (article 20) ;
du droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un Traitement fondé sur l’intérêt légitime (article 21) ;
du droit de s’opposer à tout moment, sans avoir à motiver sa demande, au Traitement « Relations avec les partenaires, financeurs et soutiens du projet » (article 21) ;
du droit de retirer à tout moment son consentement, lorsque le Traitement repose sur celui-ci, sans que la licéité du Traitement antérieur en soit affectée (article 7, paragraphe 3) ;
du droit de définir des directives relatives à la conservation, à l’effacement et à la communication de ses Données personnelles après son décès (article 85 de la Loi Informatique et Libertés).

L’Éditeur notifie toute rectification, tout effacement ou toute limitation aux destinataires auxquels les données ont été communiquées, sauf si cela se révèle impossible ou exige des efforts disproportionnés (article 19).

9.2 Modalités d’exercice

Les droits s’exercent gratuitement, par courrier électronique à contact@recto-medias.fr ou par courrier postal adressé au siège de l’Éditeur. L’Éditeur ne demande un justificatif d’identité qu’en cas de doute raisonnable sur l’identité de l’auteur de la demande (article 12, paragraphe 6, du RGPD).

L’Éditeur répond dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes ; la personne concernée en est alors informée dans le délai d’un mois, avec les motifs de la prolongation (article 12, paragraphe 3, du RGPD).

Article 10 — Réclamation auprès de la CNIL

Toute personne concernée qui estime que le Traitement de ses Données personnelles constitue une violation du RGPD peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (article 77 du RGPD) : Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 ; téléphone : 01 53 73 22 22 ; en ligne : cnil.fr/fr/plaintes.

Article 11 — Cookies

L’utilisation de Cookies et la gestion du consentement sont décrites par la politique cookies.

Article 12 — Modification de la politique

12.1 Modification

L’Éditeur peut modifier la présente politique, notamment pour tenir compte d’une évolution du Service, de la réglementation ou de la jurisprudence. Chaque modification donne lieu à une nouvelle version, numérotée et datée, publiée sur le Site. Les versions antérieures restent consultables depuis l’historique des versions figurant à la fin du document.

Une nouvelle version entre en vigueur à la date qu’elle indique. Lorsque la modification est substantielle, l’Éditeur en informe les Utilisateurs par un avis sur le Site, et, pour les Utilisateurs disposant d’un compte, par courrier électronique, avant son entrée en vigueur.

Historique des versions

Versions successives du document
Version	Entrée en vigueur	Modifications
3.0 (en vigueur)	5 novembre 2026	Lancement du Service : les Cartes sont publiques, l’espace des Correspondants locaux s’ouvre sur invitation, la contestation, la candidature et le formulaire de contact enregistrent ou transmettent des données. Nouveaux traitements : collecte automatisée des pages légales des sites, candidatures. Traitements précisés : comptes (fiches, récusations, préférences, exercices, votes du panel), contestations (sans nom, ouvertes aux journalistes et aux lecteurs), demandes par le formulaire de contact, limite du nombre de requêtes. Supabase est sous-traitant de chacun des traitements qu’il héberge ; le rôle de Brevo est élargi aux avis et au relais des formulaires ; les dossiers transmis aux autorités compétentes sont mentionnés parmi les destinataires.
2.0	30 octobre 2026	Deux traitements nouveaux : l’essai de Recto par des testeurs volontaires (consentement, et consentement explicite et distinct pour la proximité politique, facultative) et la limite des demandes de lecture d’un site (identifiant pseudonyme calculé à partir de l’adresse IP, gardé quarante-huit heures). Supabase, qui héberge la base de données du Service à Paris, est désormais présenté comme sous-traitant, avec les transferts possibles hors de l’Union européenne et leurs garanties ; Mistral AI, qui n’est plus employé, est retiré des sous-traitants.
1.2	28 octobre 2026	Mesure d’audience décrite selon la configuration de Matomo alignée sur l’exemption de consentement de la CNIL : localisation approximative (pays, région, ville) déduite de l’adresse IP, site d’origine réduit à son nom de domaine, appareil, navigateur et système sans version détaillée ni taille d’écran, statistiques consultées uniquement sous forme agrégée, conservation ramenée à six mois.
1.1	23 octobre 2026	Mise en conformité avec la convention de copropriété et d’exploitation signée le 22 octobre 2026 : identification complète du responsable du traitement, précision des personnes habilitées à accéder aux données (article 29 du RGPD), liste des sous-traitants et des transferts hors de l’Union européenne mise à jour, ajout du traitement « Relations avec les partenaires, financeurs et soutiens du projet ».
1.0	Jamais entrée en vigueur	Première version.