Le roll déroulé

Confidentialité & cookies

♡

La version courte : ce site ne dépose aucun cookie et ne vous demande rien, mais il compte ses visites. Ce n'est pas rien, alors on le déroule en entier — quel outil, ce qu'il mesure, ce qu'il ne mesure pas, et ce qui reste à trancher.

Dernière mise à jour : 17 juillet 2026

Qui est responsable de ce site

ROLL IN LOVE, société à responsabilité limitée immatriculée sous le numéro SIREN 995 367 380, dont le siège est situé 32 rue Neuve, 85160 Saint-Jean-de-Monts, est responsable du traitement au sens du règlement (UE) 2016/679 (RGPD).

Contact : 02 59 15 26 97 · roll.inlove@outlook.com

Compte tenu de la nature et du volume des traitements réalisés par ce site, la désignation d'un délégué à la protection des données n'est pas requise.

Quelles données ce site collecte

Beaucoup de sites vitrines écrivent ici « aucune ». Ce serait faux dans notre cas, et nous préférons vous dire ce qu'il en est. Ce site mesure son audience. En revanche :

Au chargement d'une page, votre navigateur ne se connecte donc à aucun domaine tiers. Les seuls liens vers l'extérieur sont des liens sur lesquels vous devez cliquer.

La mesure d'audience — Vercel Web Analytics

Ce site utilise Vercel Web Analytics, l'outil de statistiques de la plateforme qui héberge le site. Il nous sert à une seule chose : savoir combien de personnes viennent, et quelles pages sont regardées. Nous le nommons ici parce qu'un outil de mesure d'audience n'est jamais neutre, même quand il est discret.

Ce qu'il est, concrètement

C'est un script de 2,5 Ko chargé depuis /_vercel/insights/script.js — une adresse de ce site, pas d'un domaine tiers. À chaque page vue, il envoie une requête à /_vercel/insights/view, également sur ce site. Rien n'est donc chargé depuis un serveur extérieur. Mais le domaine ne fait pas tout : les données sont ensuite traitées par Vercel Inc., société américaine.

Ce qu'il envoie

Comme pour toute requête sur internet, le serveur qui la reçoit voit en outre votre adresse IP et votre agent utilisateur (le nom et la version de votre navigateur et de votre système). Le script ne les envoie pas : ils sont portés par la requête elle-même. Vercel s'en sert pour en déduire un pays, une ville et un type d'appareil.

Ce qu'il ne fait pas

Comment il compte sans cookie

Vercel indique identifier les visiteurs par « une empreinte créée à partir de la requête entrante », valable « une seule journée, au terme de laquelle elle est automatiquement réinitialisée », et affirme que « les visiteurs ne peuvent pas être suivis d'un jour à l'autre ni d'un site à l'autre ». Vercel ne publie pas le détail du procédé : nous reprenons donc ses termes sans les présenter comme vérifiés.

Ce qui est observable : le calcul dépend du site visité — une même personne n'obtient pas la même empreinte ici et sur un autre site hébergé par Vercel. C'est ce que la CNIL attend d'une empreinte lorsqu'elle en tolère l'usage : une composante propre au site, et une composante temporelle. Sur ce point précis, l'outil coche la case.

En revanche, nous n'écrirons pas ici que ces données sont « anonymes ». Vercel l'affirme ; nous ne le reprenons pas à notre compte. Une empreinte qui distingue un visiteur d'un autre pendant vingt-quatre heures relève, au regard de la doctrine européenne sur les techniques d'anonymisation, de la pseudonymisation — et des données pseudonymisées restent des données personnelles, pleinement soumises au RGPD. C'est une nuance de vocabulaire, mais c'est elle qui commande tout le reste.

Une précision que nous aurions pu taire. Vercel Web Analytics comporte en option un mode qui dépose bel et bien un cookie — un identifiant de session d'une durée de 400 jours — activable par l'éditeur d'un site en une ligne de code. Sur ce site, cette option n'est pas activée : la commande correspondante (enableCookie) n'est appelée nulle part, ce qui est vérifiable dans le code source de la page. Aucun cookie n'est donc déposé. Si elle l'était un jour, un dispositif de consentement deviendrait obligatoire et cette page serait mise à jour.

Finalité, base légale, durée

Le point qui n'est pas tranché — et pourquoi nous l'écrivons ici plutôt que de le taire. La CNIL admet qu'une mesure d'audience soit dispensée de consentement si elle reste strictement limitée à la mesure pour le seul compte de l'éditeur, ne produit que des statistiques anonymes, n'est recoupée avec aucun autre traitement et ne permet pas de suivre une personne d'un site à l'autre.

On lit souvent qu'« il n'y a pas de cookie, donc l'article 82 ne s'applique pas ». C'est trop rapide. Le Comité européen de la protection des données considère que la simple collecte d'une adresse IP provenant de votre équipement suffit à faire entrer un dispositif dans le champ de l'article 5(3) de la directive ePrivacy — dont l'article 82 est la transposition française — sauf à démontrer le contraire. Entrer dans ce champ n'oblige pas pour autant à poser une bannière : l'exemption « mesure d'audience » reste ouverte. Autrement dit, la vraie question n'est pas « y a-t-il un cookie ? » mais « les critères d'exemption sont-ils réunis ? ». Et en toute hypothèse, le RGPD s'applique : il faut une base légale.

Or, depuis le 1er janvier 2026, la CNIL ne publie plus de liste de solutions reconnues exemptées : chaque fournisseur s'auto-évalue et remet une attestation à ses clients, et c'est l'éditeur du site qui doit pouvoir prouver que son outil respecte les critères. Vercel n'a publié aucune auto-évaluation de ce type, et plusieurs des critères de la CNIL ne sont, à ce jour, ni documentés ni démontrés par Vercel : la troncature de l'adresse IP, l'absence de mise en commun des données entre ses clients, l'absence de réutilisation pour son propre compte, et une durée maximale de conservation. Le référent, par ailleurs, est transmis en entier alors que la CNIL demande qu'il soit limité au nom de domaine.

Nous ne tranchons donc pas seuls, et nous ne prétendons pas être conformes. Ce point doit être validé avant la mise en ligne. Deux issues : soit l'exemption est retenue, la base légale est l'intérêt légitime (article 6.1.f du RGPD) et il n'y a pas de bannière — mais un moyen de refuser la mesure doit alors vous être offert ici même ; soit elle ne l'est pas, et votre consentement doit être recueilli avant tout chargement du script. Dans les deux cas, cette page sera mise à jour. En attendant, nous préférons décrire l'outil exactement plutôt qu'affirmer une conformité que nous n'avons pas vérifiée.

Cookies

Ce site ne dépose aucun cookie — ni cookie de mesure d'audience, ni cookie publicitaire, ni cookie de préférence, ni cookie strictement nécessaire. Il n'utilise pas davantage le stockage local (localStorage, sessionStorage) de votre navigateur.

Vous pouvez le vérifier vous-même : ouvrez la console de votre navigateur et tapez document.cookie. La réponse est une chaîne vide.

L'article 82 de la loi Informatique et Libertés impose de recueillir le consentement avant d'inscrire ou de lire une information dans votre terminal. Rien n'est inscrit ni lu chez vous, et ce n'est pas un oubli : c'est le résultat de choix techniques — police auto-hébergée, aucune carte intégrée, aucun widget, aucun réseau publicitaire.

Nous nous arrêtons là où beaucoup de sites concluent trop vite. « Aucun cookie » ne veut pas dire « aucune obligation » : la mesure d'audience décrite plus haut reste un traitement de données personnelles, et son statut au regard du consentement n'est pas tranché à ce jour. L'absence de bannière sur ce site est donc, pour l'instant, une position argumentée — pas une conformité démontrée. C'est exactement pour cela que la section précédente existe et qu'elle est aussi longue.

L'accès se fait par un lien, pas par une carte intégrée. La page Contact ne contient pas de carte Google Maps encastrée : une telle carte transmettrait votre adresse IP à Google dès l'ouverture de la page, sans que vous ayez rien demandé, et imposerait une bannière de consentement. Le bouton « Ouvrir l'itinéraire » est un simple lien : rien n'est chargé depuis Google tant que vous ne cliquez pas.

Si un traceur, une carte intégrée, un formulaire ou un pixel publicitaire venait à être ajouté, cette page serait mise à jour et un dispositif de consentement serait mis en place — avec un refus aussi simple que l'acceptation, un choix modifiable à tout moment, et aucun dépôt avant consentement.

Le back-office

Le site dispose d'un espace d'administration à l'adresse /admin, qui permet à l'exploitante de modifier la carte et les avis. Il n'est pas destiné aux visiteurs et ne crée aucun compte pour eux.

Les données traitées à cette occasion sont celles du compte GitHub de l'exploitante, pour la seule finalité de lui permettre d'administrer le site, sur la base de l'intérêt légitime. GitHub a sa propre politique de confidentialité.

Les journaux de connexion de l'hébergeur

Comme tout site accessible sur internet, les serveurs qui l'hébergent enregistrent techniquement les requêtes reçues (adresse IP, date et heure, page demandée, type de navigateur). Ces journaux relèvent de l'hébergeur et poursuivent une finalité de sécurité et de bon fonctionnement, sur la base de l'intérêt légitime (article 6.1.f du RGPD).

Ce bloc doit être complété une fois l'hébergeur arrêté. Il ne doit mentionner que des sous-traitants réellement utilisés.

Les liens vers l'extérieur

Certains liens vous emmènent vers des services tiers :

À partir du moment où vous ouvrez l'un de ces liens, vous quittez ce site et vous entrez dans le champ des politiques de confidentialité de ces services, sur lesquelles l'éditrice n'a aucune prise.

Si vous nous écrivez

Quand vous nous contactez par téléphone, par e-mail ou par message privé sur Instagram — pour une box, une commande ou une question sur la carte — ces échanges ne passent pas par ce site. Ils sont traités dans nos outils de messagerie habituels, uniquement pour répondre à votre demande, sur la base de l'intérêt légitime, et ne servent ni à de la prospection ni à alimenter un fichier. Ils sont conservés le temps nécessaire au traitement de la demande.

Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité prévus par le RGPD. Vous pouvez les exercer auprès de l'éditrice : roll.inlove@outlook.com.

En pratique, la mesure d'audience ne nous donne aucun moyen de vous reconnaître : nous ne disposons ni de votre nom, ni de votre adresse, ni d'un identifiant qui vous suivrait d'un jour à l'autre. Nous ne pouvons donc pas isoler « vos » données dans les statistiques pour vous les montrer ou les effacer. Ce n'est pas une échappatoire, c'est la conséquence directe du fait qu'aucun identifiant durable ne vous est attribué — et nous ne collecterons pas d'information supplémentaire dans le seul but de pouvoir vous identifier (article 11 du RGPD).

Le droit d'opposition (article 21 du RGPD) mérite une mention à part. Si la mesure d'audience repose sur l'intérêt légitime, vous devez pouvoir la refuser d'un clic depuis cette page. [mécanisme d'opposition à mettre en place] — il n'existe pas encore : Vercel n'en fournit aucun, et il doit être construit. Tant qu'il n'est pas en place, vous pouvez nous écrire à roll.inlove@outlook.com, ou activer le signal « Do Not Track » / bloquer le script via votre navigateur ou une extension de blocage : le script étant chargé depuis une adresse de ce site, un simple bloqueur de publicité ne suffit pas toujours à l'arrêter — nous préférons vous le dire.

Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

Modification

Toute évolution technique du site susceptible de changer ce qui précède fera l'objet d'une mise à jour de cette page, avec une nouvelle date en tête.

Retour à l'accueil Mentions légales