Politique de gestion des cookies
Dernière mise à jour : 26 octobre 2026
La présente politique décrit l’ensemble des cookies et traceurs déposés sur votre terminal lorsque vous accédez au site Tracelia accessible à l’adresse https://app.tracelia.fr. Elle complète, en les détaillant, les informations communiquées à la section 8 de la politique de confidentialité.
Tracelia n’utilise aujourd’hui que des cookies strictement nécessaires au fonctionnement du Service et un traceur technique de supervision (Sentry) reposant sur l’intérêt légitime de l’éditeur, sans cookie publicitaire ni mesure d’audience tierce. En conséquence, aucun bandeau de consentement préalable n’est requis ni affiché à ce jour ; cette politique sera mise à jour, et un recueil de consentement déployé, dès qu’un traceur non strictement nécessaire soumis à consentement (par exemple un outil de mesure d’audience tiers ou un outil d’observabilité produit) sera activé.
1. Définition et cadre légal
Un « cookie » est un fichier déposé sur votre terminal (ordinateur, tablette, téléphone) par le serveur du site visité ou par un service tiers, qui permet de mémoriser une information de session ou de mesurer une utilisation. La réglementation française (article 82 de la loi n° 78-17 du 6 janvier 1978, dite Informatique et Libertés) et les lignes directrices de la CNIL distinguent deux catégories :
- les cookies strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur, qui sont exemptés de consentement préalable ;
- les autres traceurs (publicité, mesure d’audience tierce, personnalisation, partage social, etc.), qui requièrent un consentement libre, éclairé et révocable.
La présente politique précise, pour chaque cookie ou traceur déposé, sa catégorie, sa finalité, sa durée de conservation et son émetteur, conformément aux exigences de transparence posées par la CNIL.
2. Cookies strictement nécessaires
Ces cookies sont indispensables au fonctionnement du Service, à votre authentification et à la sécurité de votre session. Ils sont exemptés de consentement préalable.
| Nom | Émetteur | Finalité | Durée |
|---|---|---|---|
| next-auth.session-token __Host-next-auth.session-token | Tracelia (NextAuth.js) | Maintien de la session authentifiée (session base de données via l’adapter Prisma — aucun jeton signé n’est stocké côté client). Le préfixe __Host- est utilisé en HTTPS, le nom non préfixé en HTTP local (développement). | 30 jours (paramètre session.maxAge) |
| next-auth.csrf-token __Host-next-auth.csrf-token | Tracelia (NextAuth.js) | Protection contre les attaques CSRF (jeton vérifié lors des requêtes de connexion et de déconnexion). | Session |
| next-auth.callback-url __Host-next-auth.callback-url | Tracelia (NextAuth.js) | Mémorise l’URL de retour pendant la redirection vers le fournisseur OIDC, afin de rediriger l’utilisateur vers la page demandée après authentification. | Session |
| next-auth.state __Host-next-auth.state | Tracelia (NextAuth.js) | Anti-CSRF du flux OAuth : jeton d’état vérifié entre la requête d’autorisation et la réponse du fournisseur OIDC. | 15 minutes |
| next-auth.pkce.code_verifier __Host-next-auth.pkce.code_verifier | Tracelia (NextAuth.js) | Vérificateur PKCE du flux OAuth : sécurise l’échange du code d’autorisation contre les jetons sans transmettre de secret client. | 15 minutes |
| re_session __Host-re_session | Tracelia | Session restreinte pour les flux d’expertise à distance accessibles via un lien magique communiqué au sinistré (validation du jeton d’accès). | Même durée que le lien reçu, fixée par le professionnel : 7 jours par défaut pour remplir le dossier, puis 90 jours par défaut pour le consulter une fois transmis. Ces deux durées sont réglables, dans la limite d’un an. |
| sessions | Zitadel (sous-traitant d’authentification fédérée) | Cookie de session déposé par le fournisseur OIDC lors du flux de connexion. Il est supprimé lors de la déconnexion globale. | Session |
Source : configuration NextAuth, flux d’expertise à distance et flux de déconnexion OIDC. Le blocage de ces cookies au niveau du navigateur empêche l’ouverture et le maintien de session, et rend le Service inutilisable.
3. Traceur technique de supervision : Sentry
Pour superviser la disponibilité et la qualité technique du Service, Tracelia utilise le SDK Sentry du sous-traitant Functional Software, Inc. (Sentry), opéré pour les clients européens depuis l’Union européenne (région de Francfort, Allemagne). Ce traceur n’est actif qu’en pré-production et en production ; il est désactivé en environnement de développement local.
Le SDK Sentry ne dépose pas de cookie au sens strict mais conserve un identifiant de session de diagnostic (sentryReplaySession) dans le sessionStorage du navigateur, ainsi qu’un tampon d’enregistrements dans l’IndexedDB lorsque le mode de capture sur erreur est actif. Les informations collectées sont strictement limitées à :
- les erreurs applicatives (pile d’appel, message, contexte technique) ;
- des traces de performance échantillonnées (10 % des transactions) à des fins de mesure de latence ;
- un enregistrement de session déclenché uniquement lorsqu’une erreur survient (les sessions sans erreur ne sont jamais enregistrées), avec masquage par défaut des textes et des saisies utilisateurs.
Base légale : intérêt légitime de l’éditeur au sens de l’article 6.1.f du RGPD, consistant à assurer la sécurité, la disponibilité et la qualité de service de la plateforme. Aucune donnée Sentry n’est utilisée à des fins de mesure d’audience, d’analyse produit, de profilage ou de publicité.
Sentry agit en qualité de sous-traitant au sens de l’article 28 du RGPD. Les modalités de transfert et de conservation sont décrites aux sections 3 et 6 de la politique de confidentialité.
4. Absence de traceurs publicitaires ou statistiques tiers
Tracelia ne dépose pas les catégories de traceurs suivantes :
- traceurs publicitaires (Google Ads, Meta Pixel, LinkedIn Insight Tag, etc.) ;
- outils de mesure d’audience tiers (Google Analytics, Matomo Cloud, Plausible tiers, etc.) ;
- outils de session replay généralisé ou de cartes de chaleur (Hotjar, FullStory, Microsoft Clarity, etc.) ;
- outils de personnalisation marketing ou de re-ciblage publicitaire ;
- réseaux sociaux ni boutons de partage déposant des cookies tiers.
Aucun de ces traceurs n’est intégré au site ni à l’application. Si une évolution venait à les intégrer, la présente politique serait mise à jour et un mécanisme de recueil du consentement serait déployé conformément aux lignes directrices de la CNIL.
5. Comment paramétrer ou refuser les cookies
Vous pouvez à tout moment configurer votre navigateur pour accepter, refuser ou supprimer les cookies, ou pour être averti avant leur dépôt. Les modalités varient selon le navigateur utilisé :
- Chrome : Menu → Paramètres → Confidentialité et sécurité → Cookies et autres données des sites ;
- Firefox : Menu → Paramètres → Vie privée et sécurité → Cookies et données de sites ;
- Safari : Réglages → Confidentialité → Gérer les données de site web ;
- Edge : Menu → Paramètres → Cookies et autorisations de site.
Le blocage des cookies strictement nécessaires décrits à la section 2 empêchera l’authentification et le maintien de session, et rendra le Service inutilisable. Le blocage de Sentry (section 3) peut être obtenu en désactivant JavaScript ou en utilisant une extension de navigateur ad hoc ; il n’affecte pas le fonctionnement du Service.
6. Modifications de la présente politique
Tracelia peut modifier la présente politique à tout moment, notamment pour refléter une évolution réglementaire, l’ajout d’un nouveau traceur ou la modification d’une finalité. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, en particulier l’introduction d’un traceur soumis à consentement, vous serez informé par voie d’un bandeau dédié avant tout dépôt.
7. Contact
Pour toute question relative à la présente politique de gestion des cookies, vous pouvez nous contacter :
- Par e-mail : contact@fortytwoflow.ai
- Par courrier : FortyTwoFlow SAS, 73 Allée Kléber, 34000 Montpellier, France
L’exercice de vos droits sur vos données à caractère personnel (accès, rectification, effacement, opposition, etc.) est décrit à la section 9 de la politique de confidentialité.