Politique de confidentialité

La présente politique de confidentialité a pour objet de vous informer sur la façon dont JUWA collecte et utilise vos données personnelles lorsque vous utilisez le site juwa.co, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi « Informatique et Libertés » modifiée.

1. Responsable du traitement

Le responsable du traitement est JUWA, société par actions simplifiée au capital de 25 000 €, immatriculée au RCS (Lille Métropole 980 561 112), dont le siège social est situé 23 rue du Carrousel, 59650 Villeneuve-d'Ascq, France.

Notre référent à la protection des données est Tristan Dumas, cofondateur et associé, référent RGPD. Pour toute question relative au traitement de vos données, vous pouvez le contacter à l'adresse tristan.dumas@juwa.co.

2. Données collectées

Nous collectons vos données dans les cas suivants :

• Formulaires de contact et prise de rendez-vous : nom, prénom, e-mail, téléphone, nom de l'entreprise, message.
• Origine de votre demande : lorsque vous envoyez un formulaire, réservez un créneau ou ouvrez une conversation avec notre assistante, nous y joignons la première page par laquelle vous êtes arrivé, le site depuis lequel vous nous avez trouvés, les pages que vous avez consultées pendant cette visite et, s'ils figurent dans l'adresse, les paramètres de campagne (utm_source, utm_medium, utm_campaign). Ces informations restent dans la mémoire de votre navigateur le temps de votre visite et ne nous sont transmises qu'au moment où vous engagez l'une de ces démarches — sauf si vous avez accepté les cookies de mesure publicitaire, auquel cas elles nous parviennent dès votre arrivée (voir la ligne suivante).
• Mesure de nos campagnes publicitaires : si — et seulement si — vous acceptez la catégorie de cookies correspondante, nous enregistrons votre visite (page d'arrivée, site d'origine, paramètres de campagne présents dans l'adresse) et nous vous reconnaissons lors de vos visites suivantes grâce à un cookie juwa_vid. Nous conservons alors également la valeur de l'identifiant de clic publicitaire (gclid et équivalents), pendant 90 jours — 95 jours au maximum si nous n'avons pas encore pu la transmettre à la régie —, afin de savoir quelles annonces mènent réellement à une prise de contact. Sans ce consentement, rien de tout cela n'est enregistré.
• Assistant conversationnel (chatbot) : le contenu des messages que vous échangez avec notre assistante IA, la page d'origine de la conversation, les pages que vous aviez consultées avant de l'ouvrir, les paramètres de campagne décrits ci-dessus s'ils figuraient dans l'adresse par laquelle vous êtes arrivé, et, si vous choisissez de les laisser, votre prénom, votre téléphone ou votre e-mail (et, pour recevoir une note ou un diagnostic, vos nom et société). Un numéro de téléphone ou une adresse e-mail que vous écrivez dans la conversation est enregistré comme une demande de contact, pour qu'un consultant vous recontacte, exactement comme si vous l'aviez saisi dans le formulaire de l'assistante. Ces informations suivent la conversation : elles sont supprimées en même temps qu'elle. Votre adresse IP n'est conservée que sous forme hachée (anti-abus).
• Mesure d'audience : pages consultées, référent, user-agent, adresse IP, uniquement si vous consentez aux cookies analytiques. Cette mesure est distincte de l'origine décrite ci-dessus, qui accompagne votre demande sans recourir à un cookie.
• Cookies : voir section dédiée ci-dessous.

Enregistrement pendant la saisie. Sur le formulaire de la page Contact et sur ceux placés en tête de certaines pages, ce que vous saisissez est transmis à nos serveurs au fur et à mesure de la frappe, avant même que vous cliquiez sur le bouton d'envoi. Cela ne commence que lorsque vous avez renseigné une adresse e-mail valide ou un numéro de téléphone d'au moins huit chiffres : tant que ce n'est pas le cas, rien ne part. Sont transmis les champs remplis (nom, prénom, e-mail, téléphone, message et, sur la page Contact, les fichiers déjà joints), avec les informations d'origine décrites plus haut.

Cela nous permet de vous recontacter si vous quittez la page sans finaliser votre demande, et notre équipe peut en être prévenue par un e-mail interne. Ces brouillons non envoyés sont automatiquement supprimés sous 90 jours. Vous pouvez vous opposer à ce recontact à tout moment, sans frais, en écrivant à tristan.dumas@juwa.co : votre brouillon est alors supprimé.

L'origine de votre demande nous sert uniquement à savoir par quels canaux les gens nous trouvent, afin de mesurer ce qui fonctionne. Elle ne déclenche aucune sollicitation supplémentaire et reste rattachée à votre demande, sans profil publicitaire. Si vous arrivez depuis une publicité, nous retenons le nom du paramètre de suivi présent dans l'adresse, par exemple gclid pour Google. Sa valeur — l'identifiant attribué à votre clic — n'est jamais jointe à votre demande : elle n'existe que dans la mesure de campagnes décrite ci-dessus, qui suppose votre consentement, et elle est effacée au bout de 90 jours (95 jours au maximum si elle n'a pas encore pu être transmise à la régie).

3. Finalités et bases légales

4. Destinataires des données

Vos données sont traitées par les équipes habilitées de JUWA et peuvent être transmises à nos sous-traitants suivants, strictement dans le cadre des finalités listées :

• HubSpot (CRM — suivi de vos demandes commerciales) — hébergement au sein de l'Union européenne / États-Unis (clauses contractuelles types). Lorsque votre demande naît d'un échange avec notre assistant conversationnel, cet échange est joint à votre fiche de contact, afin que la personne qui vous rappellera sache ce qui vous a déjà été répondu.
• Cal.com (prise de rendez-vous en ligne) — États-Unis (clauses contractuelles types). Le module de rendez-vous n'est chargé qu'avec votre consentement ou lorsque vous cliquez sur un bouton « Prendre rendez-vous ». Y sont jointes les informations d'origine décrites au § 2 (page d'arrivée, site d'origine, paramètres de campagne, nombre de pages consultées), afin que nous sachions d'où vient un rendez-vous pris sans formulaire. Si — et seulement si — vous avez accepté les cookies de mesure publicitaire, s'y ajoute un code temporaire qui nous permet de relier ce rendez-vous à votre visite : ce code est chiffré, illisible pour Cal.com, valable deux heures, et différent à chaque fois. Votre identifiant de visiteur, lui, ne quitte jamais nos serveurs. Lorsque vous venez de nous confier votre nom et votre adresse e-mail (en envoyant un formulaire, ou en utilisant le simulateur, le diagnostic ou le Stack Checker) et que vous ouvrez ensuite le module de rendez-vous depuis l'écran qui suit, ces deux informations y sont préremplies pour vous éviter de les ressaisir : elles sont donc transmises à Cal.com dès l'ouverture du module, avant même que vous ayez réservé. Avec le Stack Checker s'y ajoute un résumé de votre analyse (technologies examinées et score).
• Anthropic (hébergeur du modèle d'intelligence artificielle Claude) — États-Unis (clauses contractuelles types). Trois fonctionnalités du site s'appuient dessus, et ce qui lui est transmis n'est pas le même dans les trois cas :
  • Diagnostic IA : le nom de votre entreprise et vos réponses au questionnaire, jamais votre nom, votre prénom, votre e-mail ni votre téléphone.
  • Assistant conversationnel : les messages que vous écrivez (un numéro de téléphone ou une adresse e-mail tapé dans la conversation est repéré automatiquement et, une fois repéré, masqué avant l'envoi à Anthropic ; ce repérage n'est pas infaillible, une coordonnée écrite de façon inhabituelle peut lui échapper), la page depuis laquelle vous avez ouvert la conversation, votre prénom si vous nous l'avez donné, et le fichier que vous joignez le cas échéant — dans ce dernier cas, le document est transmis en entier pour être analysé. L'assistant est clairement identifié comme une IA et ses réponses sont générées automatiquement.
  • Recherche du blog : la question que vous tapez, accompagnée d'extraits de nos articles publiés.
• Slack (Salesforce — messagerie interne de notre équipe) — États-Unis (clauses contractuelles types). Chaque demande, candidature, profil d'expert et prise de rendez-vous est annoncée dans un canal privé de notre espace de travail, afin que quelqu'un s'en saisisse : y figurent votre identité, vos coordonnées, votre message tel que vous l'avez écrit, le lien vers les fichiers que vous avez transmis, et — pour un échange avec notre assistant — ce qui s'y est dit. Ces messages ne servent qu'à alerter l'équipe ; ils ne sont ni exploités statistiquement, ni transmis à un tiers.
• Google Analytics 4 et Google Tag Manager (mesure d'audience et orchestration de nos balises) — États-Unis (clauses contractuelles types). Depuis le 4 septembre 2026, ces deux balises sont chargées dès votre arrivée sur le site, y compris avant tout choix de votre part, mais en mode « consentement refusé » : tant que vous n'avez pas accepté, aucun cookie n'est déposé sur votre appareil et aucun identifiant publicitaire n'y est lu. Dans ce mode, Google reçoit néanmoins votre adresse IP, les caractéristiques techniques de votre navigateur et l'adresse de la page consultée, ce qui lui permet d'estimer statistiquement la fréquentation et les conversions des visiteurs n'ayant pas accepté. Refuser les cookies empêche donc tout suivi individuel et tout dépôt sur votre appareil, mais ne supprime pas ces requêtes techniques sans cookie. Si vous souhaitez les empêcher, un bloqueur de contenus ou l'extension officielle de désactivation de Google Analytics y suffit.
• Microsoft Clarity (mesure d'audience) — actif uniquement après votre consentement à la catégorie « mesure d'audience ». Microsoft Clarity procède à un enregistrement de session : il reconstitue votre parcours sur la page (déplacements de souris, défilement, clics) pour nous aider à repérer ce qui bloque. Les champs de saisie sont masqués par l'outil, et nous avons en outre marqué comme masqués la conversation avec notre assistante (ce que vous lui écrivez) et l'écran de confirmation d'un rendez-vous, qui affiche votre adresse e-mail. Ce n'est pas une simple statistique de fréquentation — d'où votre consentement préalable, et la possibilité de le retirer à tout moment.
• Google Ads (mesure de nos campagnes publicitaires) — États-Unis (clauses contractuelles types). Concerne uniquement les visiteurs ayant accepté la catégorie « marketing et mesure publicitaire », et uniquement lorsqu'ils sont arrivés par une annonce : nous renvoyons alors à Google l'identifiant de leur clic, le fait qu'une demande a suivi et son horodatage, ainsi qu'une empreinte irréversible (SHA-256) de votre adresse e-mail — c'est ce qui permet à la régie de rapprocher la conversion de l'annonce quand l'identifiant de clic n'a pas survécu au parcours. Cette empreinte ne permet pas de reconstituer votre adresse ; elle reste néanmoins une donnée vous concernant, d'où le consentement préalable. Ni votre nom, ni votre téléphone, ni le contenu de votre message ne partent chez elle.
• Microsoft Azure (hébergement des médias du site et envoi des e-mails transactionnels liés à vos demandes, via Azure Communication Services) — Europe.
• Vercel (hébergement de l'application web et mesure de performance technique agrégée, sans cookie) — États-Unis (clauses contractuelles types).
• Cloudflare (service anti-robot « Turnstile » protégeant les formulaires du site) — États-Unis (clauses contractuelles types). Le service analyse des signaux techniques de votre navigateur afin de distinguer un visiteur humain d'un automate ; il ne dépose aucun cookie sur votre terminal et n'est utilisé ni pour vous suivre, ni pour vous profiler.

5. Recrutement et candidatures

Lorsque vous répondez à une offre d'emploi, envoyez une candidature spontanée ou proposez votre profil à notre réseau d'experts, nous traitons les données suivantes : identité (nom, prénom), coordonnées (e-mail, téléphone), CV, lien vers votre profil LinkedIn ou votre portfolio, et le message accompagnant votre candidature.

La base légale de ce traitement est l'exécution de mesures précontractuelles : l'examen de la candidature que vous nous adressez. Vos données de candidature sont conservées au maximum 2 ans après le dernier contact, puis supprimées, y compris les fichiers transmis (CV), stockés sur Microsoft Azure en Europe.

Si nous retenons votre profil et que vous rejoignez notre réseau d'experts, ce délai ne s'applique plus tant que la collaboration dure : votre fiche est alors conservée pour la durée de cette relation, puis supprimée lorsque nous y mettons fin. Vous pouvez en demander le retrait à tout moment, sans avoir à vous justifier (section 6).

Elles ne sont jamais versées à notre CRM commercial (HubSpot) ni utilisées à des fins de prospection : une candidature n'est pas un prospect. Comme toute demande reçue par le site, elle est en revanche annoncée dans notre espace de travail Slack — votre nom, vos coordonnées, votre message et le lien vers votre CV — pour que la personne qui suit le recrutement s'en saisisse. Cet espace n'est accessible qu'à notre équipe.

Aides automatiques au tri. Nous utilisons deux outils pour aider à trier les candidatures. Ils signalent, ils ne décident pas.

Le premier compare le texte de votre CV et votre message aux compétences recherchées. Si une compétence jugée indispensable n'est pas trouvée, le dossier est signalé à la personne qui l'examine : il n'est jamais refusé automatiquement. Cette comparaison se fait sur nos propres serveurs, aucun service tiers ne lit votre CV.

Le second repère les messages qui présentent les marques d'un texte généré ou collé sans relecture, et les signale à l'équipe. Il s'applique aux candidatures comme aux profils d'experts. Si vous rédigez un message, le formulaire vous prévient avant l'envoi, sans rien bloquer.

Aucune décision n'est prise sur le seul fondement de ces outils : chaque refus est un geste d'une personne. Vous pouvez à tout moment nous écrire pour exercer vos droits (section 6).

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès et de copie
• Droit de rectification
• Droit à l'effacement (« droit à l'oubli »)
• Droit à la limitation du traitement
• Droit d'opposition
• Droit à la portabilité
• Droit de définir des directives relatives au sort de vos données après votre décès

Pour exercer ces droits, adressez votre demande à tristan.dumas@juwa.co. Une pièce d'identité pourra vous être demandée en cas de doute raisonnable sur votre identité.

Vous avez également le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr.

7. Cookies et traceurs

Le site utilise trois catégories de cookies :

• Essentiels : nécessaires au fonctionnement du site (session admin, préférences de consentement). Ils ne nécessitent pas votre accord.
• Mesure d'audience : permettent de comprendre comment le site est utilisé — Google Analytics 4 (pages vues, provenance, durée de visite) et Microsoft Clarity, qui procède en outre à un enregistrement de session : votre parcours sur la page (déplacements de souris, défilement, clics) est reconstitué pour nous aider à repérer ce qui bloque, les champs de saisie, la conversation avec l'assistante et l'écran de confirmation d'un rendez-vous étant masqués. Aucun de ces cookies n'est déposé avant votre consentement, et ils sont désactivables à tout moment par le même bouton. La balise Google Analytics est en revanche chargée dès votre arrivée, bridée tant que vous n'avez pas accepté — ce qu'elle transmet alors, et comment l'empêcher, est détaillé au § 3.
• Marketing et mesure publicitaire : Le module de rendez-vous Cal.com se précharge pour s'ouvrir tout de suite. Un cookie juwa_vid vous reconnaît 13 mois, l'identifiant de votre clic publicitaire est gardé 90 jours, et vos demandes remontent à Google Ads en conversions. Aucun profil, aucune revente. Le module de rendez-vous se charge avec votre consentement, ou lorsque vous cliquez vous-même sur un bouton « Prendre rendez-vous ». Rien n'est déposé avant votre accord.

Le cookie de consentement lui-même (juwa_consent, déposé par JUWA) enregistre votre choix pendant 6 mois, durée au terme de laquelle le bandeau réapparaît. Les cookies de mesure d'audience ont une durée de vie maximale de 13 mois.

Si vous acceptez la catégorie ci-dessus, notre serveur dépose un cookie juwa_vid : un identifiant aléatoire, valable 13 mois et prolongé à chaque visite, qui nous permet de reconnaître un visiteur déjà venu et de rattacher sa demande à l'annonce par laquelle il nous a trouvés. Il est déposé par notre propre domaine, illisible par les scripts de la page, et ne sert à rien d'autre. Si vous retirez ce consentement, il est supprimé : votre navigateur en informe notre serveur, qui l'efface — et plus aucune visite n'est enregistrée.

Le site mesure par ailleurs ses performances techniques via Vercel Analytics / Speed Insights : données agrégées et anonymes, sans cookie ni identifiant individuel, au titre de l'exemption « mesure d'audience » prévue par la CNIL.

JUWA opère également sa propre mesure de fréquentation exemptée de consentement (exemption « mesure d'audience », art. 82 de la loi Informatique et Libertés) : un cookie juwa_aid, déposé par notre serveur pour 13 mois sans prolongation, compte les visites et les retours de manière pseudonyme. Cette mesure ne collecte ni campagne publicitaire, ni UTM, ni identifiant de clic, réduit l'origine de la visite au seul nom de domaine, n'horodate qu'à l'heure près, n'est jamais recoupée avec vos demandes ou votre identité, et n'est restituée que sous forme de statistiques agrégées, conservées 25 mois. Elle fonctionne indépendamment de vos choix de cookies ; vous pouvez vous y opposer ici, durablement (un cookie d'opposition juwa_aid_optout enregistre ce choix) :

Cette mesure est active sur ce navigateur. M'opposer à la mesure de fréquentation

Les formulaires du site sont protégés contre les envois automatisés par Cloudflare Turnstile. Ce dispositif ne dépose aucun cookie et ne permet ni de vous identifier, ni de vous suivre d'un site à l'autre : il analyse uniquement des signaux techniques de votre navigateur, le temps de vérifier que la demande n'émane pas d'un robot. À ce titre, il relève de l'exemption de consentement prévue pour les dispositifs strictement nécessaires à la sécurité du service.

Au-delà des cookies, le site garde quelques informations dans la mémoire de votre navigateur. Elles ne sont lues que par le site lui-même et ne partent chez aucun tiers ; celles rangées dans la mémoire de session disparaissent à la fermeture de l'onglet, celle rangée dans la mémoire locale persiste jusqu'à ce que vous vidiez les données du site.

• juwa_consent_sid (mémoire locale) — identifiant technique attaché à votre choix de consentement, qui permet de prouver ce que vous avez accepté ou refusé.
• juwa-attribution (mémoire de session) — page par laquelle vous êtes arrivé et origine de votre visite, jointes à votre demande si vous en envoyez une.
• juwa-chat (mémoire de session) — état de votre conversation avec l'assistant, pour la retrouver si vous changez de page.
• juwa-chat-nudge (mémoire de session) — mémorise que la bulle de l'assistant s'est déjà proposée, afin de ne pas le refaire.
• juwa-chat-engaged (mémoire de session) — temps passé sur le site, qui décide du moment où cette bulle se propose.
• juwa-lead-session (mémoire de session) — relie un formulaire commencé à son envoi, pour ne pas créer deux demandes.
• juwa-audience-lasthit (mémoire de session) — heure du dernier signal de fréquentation anonyme envoyé, pour ne pas compter deux fois la même visite.
• juwa-visit-sent (mémoire de session) — mémorise que votre visite a déjà été rattachée à votre consentement publicitaire (ou que votre retrait a été transmis), pour ne pas le refaire à chaque page.
• juwa-consent-logged (mémoire locale) — mémorise le dernier choix de cookies déjà enregistré, pour ne pas le réenregistrer à chaque page que vous ouvrez.
• juwa-presence (mémoire de session) — mémorise qui vous accueille en bas de l'écran (l'assistante ou un associé) pendant votre visite, et ce qui a déjà été compté, anonymement, pour comparer les deux.

Le détail de chaque catégorie, et la possibilité de l'accepter ou de la refuser séparément, sont accessibles à tout moment via le bouton « Gestion des cookies » affiché en bas à gauche de chaque page. Vous pouvez également paramétrer votre navigateur.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre toute perte, accès non autorisé ou divulgation : chiffrement TLS (HTTPS) sur l'ensemble du site, chiffrement AES-256 des secrets en base, contrôle d'accès par authentification forte pour l'administration.

9. Modification de la politique

Cette politique peut être mise à jour à tout moment. La date en tête de document indique la dernière révision. En cas de changement substantiel, nous vous en informerons par un bandeau sur la page d'accueil.