Politique de confidentialité

TDACorp Private Limited (« TDACorp », « nous ») exploite ce site web. Cet avis indique ce que collecte tdacorp.in, pourquoi nous le conservons, quels services y ont accès et combien de temps cela reste en place. Il a été rédigé à partir du code qui fait tourner le site plutôt qu’à partir d’un modèle, ce qui explique qu’il nomme des services au lieu de renvoyer vaguement à des tiers.

Il couvre uniquement ce site web. Le travail réalisé dans le cadre d’une mission est régi par le contrat signé pour celle-ci : l’infrastructure tourne dans vos comptes et le code source reste dans vos dépôts, de sorte que les données de votre produit ne transitent par aucun des services listés ici.

La version plus détaillée des mêmes réponses, rédigée pour une revue de sécurité et service par service, est publiée sur /trust. Les deux textes ont été écrits à partir du même code et ne se contredisent pas.

Trois choses, et la liste s’arrête là :

• Ce que vous saisissez dans le formulaire de contact: Six champs, et seulement six : votre nom, votre adresse e-mail, votre entreprise, le type de demande, la tranche de budget que vous choisissez et votre message. L’entreprise et le budget peuvent rester vides. Rien d’autre sur la page n’est lu, et aucun champ caché ne transporte quoi que ce soit à votre sujet.
• La requête qui vous sert une page: Notre hébergeur enregistre les informations habituelles des journaux de serveur : le chemin, l’agent utilisateur de votre navigateur, la région du nœud de périphérie, le statut de la réponse et le temps de traitement, et il peut rattacher une requête à l’adresse IP dont elle provient. C’est ce que produit le fait de servir un site web, et nous n’en construisons aucun profil.
• La vitesse d’affichage de la page: Un script de mesure, décrit dans sa propre clause plus bas. Il enregistre la route et l’URL, la vitesse de connexion, le navigateur, le type d’appareil et le système d’exploitation, votre pays, la valeur de performance elle-même et l’élément auquel elle est attribuée.

Il n’y a ni compte visiteur ni connexion. Nous ne détenons aucun identifiant publicitaire, aucun historique inter-sites, aucune localisation plus fine que le pays enregistré par le script de mesure, et rien d’acheté ou d’enrichi auprès de qui que ce soit d’autre.

• Pour vous répondre: Votre message est conservé pour y répondre et pour mener la conversation qu’il ouvre. Le fondement est la démarche que vous nous avez demandé d’accomplir avant tout contrat : vous avez envoyé une demande pour qu’elle soit lue.
• Pour servir et défendre le site: Les enregistrements de requêtes existent pour que les pages puissent être délivrées, que les pannes puissent être retracées et que les abus puissent être arrêtés. Le fondement est notre intérêt légitime à ce que le site fonctionne et reste disponible.
• Pour le garder rapide: Le temps d’affichage des pages est mesuré afin de repérer et de corriger les pages lentes. Le fondement est le même intérêt légitime, et la mesure est anonyme, ce qui est précisément la raison pour laquelle elle est acceptable sur ce fondement.
• Ni pour le marketing, ni pour le profilage: Aucune page de ce site ne recueille d’adresse pour une liste de diffusion, aucune newsletter n’est envoyée, et rien ici ne vous profile ni ne prend de décision automatisée à votre sujet. Si une liste de diffusion est un jour ajoutée, elle demandera d’abord votre accord et cet avis changera avant qu’elle n’existe.

TDACorp est immatriculée en Inde, de sorte que le Digital Personal Data Protection Act, 2023 régit ce traitement. Lorsque vous relevez du RGPD du Royaume-Uni ou de l’UE, les fondements indiqués ci-dessus sont ceux sur lesquels nous nous appuyons au titre de ce règlement, et la clause sur les droits ci-dessous s’applique à vous pleinement.

Chaque service qui touche des données de ce site est nommé ici, avec ce qu’il détient réellement. Un avis qui dit que des services tiers peuvent être utilisés ne répond à rien de ce qu’un lecteur a demandé.

• Supabase: Détient le formulaire de contact. Votre navigateur envoie les données directement à une fonction Supabase, qui écrit une ligne contenant les six champs, plus l’heure d’arrivée et un indicateur de lecture. La clé que porte votre navigateur peut insérer une ligne et rien d’autre : ni lecture, ni modification, ni suppression, ce que garantit la base de données et non la page.
• Resend: Envoie les e-mails, depuis mail.tdacorp.in, et les traite aux États-Unis. Une notification qui nous transmet votre message, et une confirmation envoyée à l’adresse que vous avez saisie. La confirmation est un modèle fixe qui ne reprend rien de ce que vous avez écrit.
• Zoho: Héberge la boîte aux lettres où arrivent ces notifications, de sorte qu’une copie de votre message s’y trouve. Zoho gère aussi tous les e-mails envoyés À l’adresse publiée ; seuls les e-mails envoyés par ce site passent par Resend.
• Vercel: Sert le site et conserve les enregistrements de requêtes décrits plus haut. Chaque page publique est construite à l’avance et servie comme un fichier, de sorte que l’ouvrir n’exécute aucune requête de base de données. Ce que vous saisissez dans le formulaire n’atteint pas Vercel : cette requête va de votre navigateur à Supabase et ne passe jamais par le serveur de ce site.
• Vercel Speed Insights: Mesure le temps d’affichage des pages. L’un des deux scripts de mesure du site, tous deux de Vercel. Sa propre clause figure plus bas.
• Vercel Web Analytics: Compte les pages vues. Le second script de mesure, ajouté le 28 juillet 2026. Sa propre clause figure plus bas.
• Cal.com: Gère la prise de rendez-vous, et seulement si vous réservez. Book a call est un simple lien vers l’extérieur et non un widget intégré, de sorte que rien de cal.com ne s’exécute ici et que rien n’y est envoyé par la simple lecture d’une page. Ce que vous saisissez dans leur formulaire, vous le leur transmettez directement.

Personne d’autre ne reçoit quoi que ce soit. Les données de ce site ne sont ni vendues, ni louées, ni échangées, ni remises à qui que ce soit pour ses propres finalités. Elles seraient communiquées si une loi ou une injonction légale valide l’exigeait, et cela ne s’est pas produit.

Aucune page publique de ce site ne dépose de cookie ni n’écrit dans le stockage du navigateur. Il n’y a pas de bannière de consentement parce qu’il n’y a rien à consentir. Le seul cookie que définit le code appartient au tableau de bord protégé par mot de passe dans lequel nous lisons les demandes : il n’est émis qu’après une connexion à ce tableau de bord, et la lecture d’une page publique n’en produit jamais.

Aucun script d’une autre origine ne peut s’exécuter ici. La Content-Security-Policy envoyée avec chaque réponse n’autorise que les scripts de cette origine, et c’est un en-tête de réponse que vous pouvez vérifier vous-même plutôt qu’une affirmation à croire sur parole.

Vercel Speed Insights est monté sur chaque route et servi depuis ce domaine, à l’adresse /_vercel/speed-insights/script.js. La documentation publiée par Vercel liste exactement les valeurs enregistrées, et indique que l’enregistrement est anonyme, qu’il n’est ni lié ni associé à un visiteur ou à une adresse IP en particulier, et qu’il ne conserve aucune information permettant de reconstituer une session de navigation d’une page à l’autre ou d’identifier un utilisateur.

Vercel ne fait aucune déclaration sur les cookies pour Speed Insights, dans un sens comme dans l’autre, et nous non plus. Ce que nous pouvons affirmer : le paquet que nous installons ne contient aucun accès aux cookies ni au stockage du navigateur dans son code, et le script qu’il charge est celui de Vercel et n’a pas été audité par nous. Si vous préférez qu’il ne s’exécute pas, bloquez ce chemin précis. Rien sur ce site n’en dépend.

Vercel Web Analytics a été ajouté le 28 juillet 2026 et compte les pages vues. C’est le second script de mesure ici et, comme le premier, il appartient à Vercel et est servi depuis ce domaine plutôt que depuis celui de quelqu’un d’autre. Sa documentation, mise à jour pour la dernière fois le 26 juin 2026, indique qu’il n’utilise aucun cookie tiers, qu’un visiteur est plutôt identifié par une empreinte calculée à partir de la requête entrante, et que la session associée à cette empreinte est automatiquement supprimée au bout de 24 heures. Elle indique aussi qu’il ne conserve rien qui permettrait de reconstituer une session de navigation d’un site à l’autre, ou d’identifier une personne.

Ce qu’il enregistre à chaque vue, d’après cette même documentation : l’heure, l’adresse de la page et la route dynamique correspondante, la page de provenance, les paramètres de requête après filtrage, une localisation approximative déduite de la requête (pays, région, ville), le système d’exploitation, le navigateur et le type d’appareil, ainsi que la version du script lui-même.

Une différence honnête avec Speed Insights : ce script se trouve à un chemin fixe que nous pouvons nommer, il peut donc être bloqué précisément. La version 2 du paquet d’analyse d’audience génère ses adresses de script et de remontée des mesures pour chaque déploiement, à partir d’une valeur initiale fixée à la compilation, de sorte qu’il n’existe pas de chemin stable à publier, et nous n’en imprimerons pas un qui deviendrait obsolète. Le bloquer revient à bloquer /_vercel/ sur ce domaine, ce qui arrête aussi Speed Insights. Rien sur ce site ne dépend ni de l’un ni de l’autre.

• Votre message: Il n’y a aucune expiration automatique : pas de tâche de rétention, pas de durée de vie, pas de purge programmée. Une ligne reste jusqu’à ce qu’elle soit supprimée à la main depuis le tableau de bord. Nous ne publions volontairement aucune durée de conservation fixe, car une durée que rien ne fait respecter serait un contrôle qui n’existe pas.
• Les e-mails: La notification et la confirmation sont des e-mails ordinaires, de sorte qu’une copie de votre message se trouve dans une boîte aux lettres en dehors de la base de données. Supprimer la ligne ne supprime pas ces copies, c’est pourquoi la demande ci-dessous couvre les deux lorsque vous le demandez.
• Enregistrements de requêtes: Les journaux de serveur appartiennent à notre hébergeur, conservés selon le calendrier de l’offre sur laquelle tourne le site et non selon un calendrier que nous fixons. Nous ne les copions nulle part et n’en tenons pas de nôtres.
• Suppression sur demande: Écrivez depuis l’adresse que vous avez utilisée et la ligne est supprimée, ainsi que les e-mails si vous le précisez. Il n’y a ni formulaire ni portail : privacy@tdacorp.in parvient à la personne qui peut y donner suite.

Un projet Postgres hébergé, dans une seule région, contient la table des messages. La région est un paramètre de déploiement et non un fait propre à cette page ; elle est donc confirmée par écrit sur demande et nommée dans un accord de traitement des données, où elle engage au lieu d’être simplement imprimée.

Le site lui-même est servi depuis un réseau de périphérie mondial et ne porte rien qui vous concerne, car les pages sont des fichiers statiques. L’e-mail est l’exception qu’il faut dire clairement : il est envoyé via Resend aux États-Unis puis repose dans une boîte aux lettres Zoho, de sorte qu’une copie de votre message existe en dehors de la base de données et en dehors de toute région unique. Si quelque chose ne doit pas se trouver dans une boîte de réception, abordez-le lors d’un appel plutôt que dans le formulaire.

Quels que soient les droits que vous accorde votre juridiction, les suivants sont respectés ici :

• Une copie de ce que nous détenons à votre sujet, c’est-à-dire la ligne et les e-mails
• La rectification de tout ce qui y est inexact
• Sa suppression, y compris les copies en boîte aux lettres lorsque vous demandez aussi celles-ci
• L’opposition au traitement fondé sur notre intérêt légitime, et le retrait de tout ce que vous nous avez donné volontairement
• Une réclamation auprès de votre autorité de protection des données, sans avoir à passer par nous d’abord

Écrivez à privacy@tdacorp.in depuis l’adresse que vous avez utilisée. Nous ne vous demanderons pas plus de justificatifs d’identité que la demande n’en requiert, et aucun frais n’est demandé.

Les précisions plutôt que les adjectifs : la clé que porte votre navigateur ne peut qu’insérer, ce que garantit la sécurité au niveau des lignes (row-level security) dans la base de données ; la clé qui peut lire reste côté serveur et n’est jamais envoyée à un navigateur ; le tableau de bord qui lit les demandes est protégé par mot de passe et exclu des moteurs de recherche ; et chaque réponse comporte une politique de sécurité du contenu (Content-Security-Policy), l’en-tête Strict-Transport-Security et le reste du jeu d’en-têtes.

Rien de cela ne rend la transmission par Internet parfaitement sûre, et nous n’allons pas prétendre le contraire. Les pratiques d’ingénierie qui les sous-tendent sont publiées en intégralité sur /security, avec l’endroit où signaler ce que vous trouvez.

La date en haut est celle à laquelle cet avis a été vérifié pour la dernière fois par rapport au code en production. Il est réécrit quand le parcours des données change plutôt qu’à intervalles réguliers, et une modification qui ajoute un service ou une finalité est indiquée dans la clause concernée au lieu d’être noyée dans une réserve générale du droit de tout modifier.