Fonctionnement des services du Site
5.1 Formulaires publics
Les formulaires « Avis d’expert », partenariat, contact du Réseau STA, demande de lecture personnalisée et prolongement volontaire de l’outil « Évaluer un risque » transmettent les informations à STA Conseils par courrier électronique au moyen de Brevo. La boîte à outils utilise également Brevo lorsque l’utilisateur choisit de recevoir son résultat par e-mail ou de le transmettre à STA Conseils. Les messages destinés à STA Conseils sont ensuite consultés et suivis dans sa messagerie professionnelle. Les demandes publiques ne sont pas enregistrées dans la base de données de l’espace partenaire par le Site.
Le questionnaire territorial du Réseau STA est hébergé séparément sur Google Forms. Il ne demande ni nom ni adresse électronique et les réponses y sont annoncées comme anonymes. Lorsque le visiteur choisit d’ouvrir ce questionnaire, il quitte le Site et utilise le service Google Forms selon les règles de confidentialité de Google.
La page d’entrée, la page courante, le site référent et les éventuels paramètres UTM peuvent être joints au message pour identifier l’origine de la demande. Ils ne servent pas à une publicité comportementale.
5.2 Diagnostic ERM et assistant ERM
Le résultat du diagnostic peut être consulté sans transmission. Tant que l’utilisateur ne demande pas de lecture personnalisée, les réponses et le score restent dans la mémoire du navigateur et disparaissent lors du rechargement ou de la fermeture du parcours.
L’assistant ERM est un parcours pédagogique local fondé sur des réponses prédéfinies. Les questions et choix effectués dans cet assistant ne sont ni envoyés à une intelligence artificielle externe ni enregistrés par STA Conseils.
5.3 Boîte à outils et évaluation d’un risque
Les calculs et évaluations de la boîte à outils sont réalisés localement dans le navigateur. Aucune donnée saisie n’est transmise automatiquement à STA Conseils ou à une intelligence artificielle externe.
Les outils « Construire un indicateur de pilotage », « Tester la continuité d’une activité » et « Tester sa préparation au risque cyber » calculent leur restitution localement dans le navigateur, sans stockage des réponses par le Site et sans transmission automatique. Après affichage du résultat, l’utilisateur peut choisir de le recevoir à son adresse électronique ou de le transmettre à STA Conseils. L’envoi ne peut intervenir qu’après saisie d’une adresse électronique, choix explicite de la destination et confirmation du consentement ; le nom et l’entreprise sont également requis pour une transmission à STA Conseils. La synthèse structurée est alors acheminée par Brevo, sans conservation supplémentaire des réponses par le mécanisme de la boîte à outils.
Lorsque l’utilisateur demande un Avis d’expert à partir de l’outil « Évaluer un risque », les informations déjà renseignées sont placées temporairement dans le stockage de session du navigateur afin de compléter le formulaire sans ressaisie. Elles ne sont transmises à STA Conseils qu’après l’action volontaire d’envoi et la confirmation dédiée. L’affichage de la confirmation d’envoi, la fermeture de la session de navigation ou la réinitialisation du parcours supprime cette reprise locale. En cas de redirection immédiate vers PayPal, elle reste conservée dans la session du navigateur jusqu’à sa fermeture ou à la réinitialisation du parcours.
5.4 Espace partenaire
L’espace partenaire conserve les informations nécessaires à l’administration du partenaire ou de l’apporteur et des profils qui lui sont activés, notamment son identité, son type de relation avec STA Conseils, sa structure lorsqu’elle existe, son adresse électronique, son téléphone et, lorsqu’il est applicable et renseigné, son SIRET. Le profil Commercial peut être attribué à un apporteur professionnel ou à un apporteur ponctuel particulier ; l’accès au SaaS ne crée pas à lui seul un statut professionnel ni un droit à commission. Selon les profils activés, l’espace peut enregistrer les packs et le suivi des Avis d’expert, ainsi que les brouillons et opportunités commerciales qualifiées. Une demande d’avis ou une opportunité transmise est enregistrée dans la base de suivi et peut être notifiée par courrier électronique à STA Conseils.
L’assistant de qualification commerciale applique des règles prédéfinies aux réponses saisies. Il n’envoie aucun contenu à une intelligence artificielle externe, ne constitue ni un diagnostic ni un conseil et produit seulement une orientation indicative, susceptible d’être modifiée et validée par STA Conseils. Aucun message n’est envoyé automatiquement à l’interlocuteur de l’entreprise qualifiée.
L’accès utilise un code à usage unique envoyé par courrier électronique. Les codes et jetons de session sont conservés sous forme hachée. Le code est valable vingt minutes, avec un nombre d’essais limité ; la session est valable douze heures. La déconnexion supprime la session active. Pour diagnostiquer la livraison des codes partenaires, l’administration STA peut consulter Brevo à partir de l’identifiant du message, sans renvoyer de code. Le dernier statut connu, les dates techniques, une catégorie de motif et les éventuels codes SMTP sont conservés avec la demande de code. Aucun contenu de message, code en clair, adresse IP destinataire, événement d’ouverture ou de clic n’est ajouté à ce suivi. L’acceptation par Brevo n’est pas une confirmation de livraison, et l’acceptation par le serveur destinataire ne garantit pas le classement en boîte de réception. Chaque validation réussie d’un code augmente le compteur de connexions du partenaire et actualise sa date de dernière connexion ; un simple rechargement de page, une demande de code non validée ou la reprise d’une session existante ne sont pas comptés.
Les pièces confidentielles ne sont pas stockées dans l’espace partenaire : lorsqu’elles sont nécessaires, leur transmission est organisée séparément.
Pour un Avis d’expert standard apporté depuis le profil Commercial, un lien personnel permet au client de relire la seule demande concernée, de confirmer son identité déclarée et d’accepter les CGV avant paiement. Ce lien signé ne contient pas les informations client ; il expire trente jours après la transmission et cesse de fonctionner si la demande est modifiée, refusée, convertie ou réorientée, ou si l’accès Commercial est désactivé. Il donne accès à la demande et doit être transmis uniquement au client concerné. Les commentaires et synthèses internes ne sont pas affichés. La preuve des CGV est notifiée à STA Conseils avec l’attribution du Commercial ; seule la référence d’accès au paiement est ajoutée à l’historique de l’opportunité, sans confirmation automatique de règlement. Ces pages personnelles sont exclues des statistiques du site et ne chargent aucun outil PayPal avant l’action volontaire de paiement. Aucun message n’est envoyé automatiquement au client.
Le profil Réseau STA utilise les mêmes accès personnels pour consulter les ressources communes du collectif. Son activation ne déclenche aucune inscription commerciale, aucun envoi aux membres et aucun accès aux dossiers Avis d’expert ou aux opportunités sans le profil correspondant. Le téléphone est facultatif pour un accès Réseau STA seul. Le dépôt d’observations territoriales n’est pas ouvert dans le Site. Le questionnaire territorial Google Forms est ouvert séparément par un lien commun, sans identifiant de membre ajouté ; le Site ne rapproche pas les réponses du compte connecté. Les fichiers de contacts de campagne et la mémoire interne de coordination ne sont pas exposés dans cet espace. Les documents Drive conservent leurs autorisations propres.
L’outil Culture du risque conserve dans la base du Site (Cloudflare D1 via la plateforme Sites) l’organisation et le contexte général de l’évaluation, les prénoms ou repères choisis pour les répondants, leur catégorie de rôle, les réponses et commentaires d’entretien, la progression, la version du questionnaire, les dates de saisie et de fin, le membre auteur de la saisie et une révision technique destinée à éviter les écrasements. Aucun e-mail ou téléphone de répondant n’est demandé. Le membre saisit les propos pendant un entretien et confirme avoir expliqué le cadre au participant. La participation est libre. Les réponses ne sont pas anonymes vis-à-vis du membre qui conduit l’entretien ; les autres membres du Réseau n’y ont pas accès. STA Conseils et ses prestataires techniques peuvent intervenir pour l’administration et l’assistance, dans la limite du besoin d’en connaître.
Ce traitement sert à organiser les entretiens, conserver les réponses, croiser les perceptions et préparer une restitution pour le travail convenu avec l’organisation. Il repose sur l’intérêt légitime de STA Conseils à fournir cet outil de dialogue professionnel et à en assurer la continuité ; les participants peuvent exercer leurs droits, notamment leur opposition liée à leur situation, à contact@staconseils.fr. Le membre leur présente ces informations avant toute saisie. Les noms complets, données sensibles et détails identifiant des tiers ne doivent pas être saisis. Il n’existe ni remplissage autonome, ni invitation automatique, ni transfert au registre territorial, au CRM ou à un service d’intelligence artificielle. Le membre décide des destinataires de l’export avec l’organisation et les informe du contenu partagé.
5.5 Espace de mission Audit assurances & continuité
Le parcours opérationnel du SaaS est limité aux espaces Organisation, Objectifs, Activités, Questionnaires et Synthèse. Les risques, assurances, écarts, recommandations et plans d’action ne constituent pas des étapes opérationnelles du SaaS. L’accès client est limité aux questionnaires affectés à l’adresse professionnelle autorisée. Le client peut répondre, commenter, enregistrer, reprendre et transmettre ses réponses ; il n’accède pas à la Synthèse réservée à STA Conseils, aux tarifs ni aux autres missions.
Dans Organisation, un répertoire unique permet d’identifier les personnes utiles sans leur créer automatiquement un accès. Un sous-bloc distinct peut rattacher plusieurs dirigeants ou mandataires sociaux et conserver, lorsque la mission le justifie, leur mandat, des états oui / non / à confirmer, un statut social déclaré ou documenté, la provenance et, facultativement, une indication limitée relative au contrôle ou à la qualité de bénéficiaire effectif. Aucune qualité juridique, aucun statut social, aucune qualité de bénéficiaire effectif et aucun besoin d’assurance ne sont déduits automatiquement. Les données détaillées non nécessaires telles que la date complète de naissance, l’adresse personnelle ou la nationalité ne sont pas collectées dans ce bloc.
L’accès client utilise un code à usage unique valable vingt minutes et une session valable douze heures. Les codes et jetons sont conservés sous forme hachée. Les données structurées de la mission, les affectations, les réponses, les commentaires, la provenance et le niveau de vérification de chaque réponse, les références externes, les contrôles de complétude, les snapshots versionnés et l’historique des principales actions sont enregistrés dans la base de la mission. Le client ne peut pas qualifier une information comme observée sur site par STA Conseils.
Aucun document client ni contrat complet n’est téléversé ou stocké dans le SaaS en V1. Les pièces et contrats complets restent transmis par e-mail ou déposés dans le dossier Google Drive convenu ; le SaaS conserve uniquement le lien du dossier et les références externes utiles. La création d’un snapshot ne confirme jamais automatiquement la lecture d’une pièce ou d’un contrat, qui doit résulter d’une action explicite.
Le SaaS ne produit ni brouillon de rapport ni rapport final. Après la création du snapshot, le rapport est préparé hors du SaaS à partir des éléments effectivement exploités, puis relu, arbitré et validé par STA Conseils. La version actuelle du SaaS ne transmet automatiquement aucune donnée de mission à un service d’intelligence artificielle externe.
5.6 Assistant STA · IA sur WhatsApp
Certaines pages publiques expressément sélectionnées et les vues authentifiées de l’espace partenaire proposent un lien ou une bulle « Assistant STA · IA » ouvrant une conversation WhatsApp. La bulle est un simple lien : avant que l’utilisateur ne clique volontairement, aucune donnée n’est transmise à WhatsApp ou à Meta, aucun script ou widget Meta n’est chargé et aucun cookie Meta n’est déposé par ce dispositif.
Après le clic, l’utilisateur quitte le Site et ouvre volontairement WhatsApp. Les messages et informations qu’il choisit d’échanger sont alors traités dans l’environnement WhatsApp / Meta. Les conversations peuvent être prises en charge par Meta Business Agent afin de générer les réponses de l’Assistant STA. Ces traitements relèvent également des conditions d’utilisation et politiques de confidentialité applicables de WhatsApp et Meta.
Dans le mode « Gestion de crise », l’Assistant STA recueille progressivement les premiers éléments utiles et peut préparer une synthèse. Lorsque la conversation est reprise par Samuel Tancoigne, celui-ci peut consulter l’historique des messages déjà échangés avec l’Assistant afin de comprendre la situation et poursuivre le traitement de la demande. Le mécanisme de reprise peut lui adresser une notification ; il ne garantit à lui seul aucun délai de réponse humaine. Un engagement de reprise au titre de l’Avis d’expert prioritaire suppose une confirmation personnelle de Samuel et les conditions précisées dans les CGV.
L’utilisateur est invité à ne transmettre par WhatsApp aucun mot de passe, aucune donnée bancaire, aucun document confidentiel non nécessaire, aucune donnée sensible ni aucun secret d’affaires.
Ce dispositif est distinct du diagnostic ERM et de l’assistant ERM local du Site décrits au point 5.2. Ces outils locaux n’envoient aucune réponse à une intelligence artificielle externe. Seule la conversation ouverte volontairement dans WhatsApp utilise, dans ce cadre, Meta Business Agent.
5.7 Acceptation des conditions d’utilisation
Les espaces partenaire et de mission Audit demandent une acceptation explicite des CGU après authentification et avant leur utilisation. Le texte exact est conservé avec son identifiant et son empreinte, séparément du dossier métier. Les utilisateurs existants sont concernés lors de leur prochain accès ; aucune acceptation passée n’est créée automatiquement. L’utilisateur peut refuser, se déconnecter et contacter STA Conseils pour poursuivre autrement. La navigation publique n’est pas enregistrée comme une acceptation des CGU.
