Ce que nous collectons, où c’est stocké, et ce que nous refusons délibérément de faire.

Quand vous chargez une page sur doctoralcompass.com, notre serveur enregistre : le chemin que vous avez consulté (par exemple /fr/framework), votre langue (FR ou EN), la page qui vous a référé (si votre navigateur l’a transmise), le pays d’où provient votre requête (code à 2 lettres dérivé par Vercel à partir de votre IP — nous ne stockons pas l’IP elle-même), un type d’appareil approximatif (mobile / tablette / desktop, dérivé de votre user-agent), et un identifiant de session aléatoire que nous plaçons dans un cookie de première partie nommé pia_sid. Le cookie expire au bout d’un an. Vous pouvez l’effacer à tout moment depuis les réglages de votre navigateur.

C’est toute la liste. Aucun nom, aucun email, aucune adresse IP stockée, aucun identifiant inter-sites, aucun fingerprinting au-delà de la chaîne user-agent utilisée pour classer grossièrement votre appareil.

Pour savoir quelles pages les gens lisent réellement, quelles langues ils utilisent, et grossièrement où ils se trouvent dans le monde. Cela nous indique où investir l’effort de contenu et quelles traductions méritent du travail. Ces données nous appartiennent, sont interrogées par nous, et ne sont jamais partagées avec quiconque.

Nous ne chargeons pas Google Analytics, Plausible, PostHog, Hotjar, Facebook Pixel, LinkedIn Insight, ni aucun script tiers d’analyse ou de publicité. Il n’y a zéro cookie tiers de pistage sur ce site.

Nous ne diffusons pas de publicité sur le site, donc aucun cookie de ciblage publicitaire ni script de syndication d’audience.

Nous ne vendons, ne louons et ne partageons aucune donnée avec des tiers à des fins de marketing.

Nous ne stockons pas votre adresse IP. Vercel la voit brièvement pour acheminer la requête et en dériver un code pays ; c’est tout.

Vous pouvez passer le diagnostic sans compte. Si vous choisissez d’en créer un — requis pour débloquer votre rapport complet personnalisé — nous collectons ce que vous nous donnez dans le formulaire de complétion de profil : prénom, nom, e-mail, niveau de doctorat (1ʳᵉ à 6ᵉ année, pas commencé, ou soutenu), domaine d’étude (texte libre), et pays (votre pays de résidence ou celui où vous étudiez principalement).

Nous stockons également, liés à votre compte : vos réponses au test (73 réponses numériques par tentative), votre archétype et vos scores dimensionnels résultants, les indicateurs de validité de chaque tentative (passage des contrôles d’attention, etc.), vos rapports générés, et les horodatages de passage du test et de dernière connexion.

L’utilisation d’un produit payant implique un peu plus de données. Pour la relecture par des experts, nous conservons le fichier que vous téléversez (votre manuscrit), les options de relecture choisies, les informations de paiement ou de reçu que vous fournissez pour confirmer votre commande, et le retour que notre relecteur vous renvoie. Pour un programme en cohorte, nous conservons votre inscription, votre échéancier de paiement et vos reçus, ainsi que les travaux que vous rendez. Pour le coaching individuel, nous conservons le coach que vous avez choisi, les séances que vous réservez et leurs dates, votre reçu de paiement, et l’avis que vous laissez sur le coaching. Ces données ne servent qu’à fournir ce service. L’inscription à un atelier enregistre votre nom, votre e-mail et votre pays. Les produits à venir (comme les cours en ligne en autonomie) ne collecteront chacun que ce qui leur est nécessaire, décrit là où vous les utilisez.

Votre e-mail sert à un seul usage : l’envoi d’e-mails transactionnels — votre lien d’activation de compte, les liens de réinitialisation de mot de passe si vous en demandez un, et (semaine 4+) votre rapport lorsqu’il sera prêt. Nous ne vous inscrivons pas automatiquement sur une liste marketing. Si nous introduisons un jour des actualités de l’académie, ce sera un opt-in explicite, séparé.

Deux fournisseurs. (1) Google OAuth — lorsque vous cliquez sur « Continuer avec Google », vous êtes redirigé·e vers Google pour vous connecter ; Google nous renvoie votre e-mail, votre nom et l’URL de votre photo de profil. Nous stockons les trois ; vous pouvez les modifier plus tard. Nous ne voyons jamais votre mot de passe Google. (2) E-mail et mot de passe — vous créez votre compte avec un e-mail + un mot de passe et confirmez via un lien d’activation que nous vous envoyons. Nous hachons votre mot de passe avec bcrypt (12 rounds, plus un sel propre à chaque mot de passe) avant de le stocker ; nous ne stockons ni ne journalisons jamais le texte en clair. Si vous oubliez votre mot de passe, vous demandez un lien de réinitialisation par e-mail — les liens sont valables 1 heure et à usage unique.

Resend — le fournisseur d’e-mails transactionnels qui envoie vos liens d’activation et de réinitialisation — ne reçoit que votre adresse e-mail et le contenu de l’e-mail rendu. Resend opère selon les conditions contractuelles standard UE/US pour les e-mails transactionnels.

Lors de votre connexion, nous posons un second cookie de première partie contenant un JWT signé (la session). Il est HTTP-only, Secure, SameSite=Lax, et expire à votre déconnexion ou après 30 jours d’inactivité. Vous déconnecter l’efface.

Nous ne stockons aucun cookie d’authentification tiers ni cookie de connexion sociale. Le cookie analytique pia_sid continue son travail de comptage de sessions, indépendamment de votre état d’authentification.

Toutes les données — vues de pages aujourd’hui, données de compte plus tard — sont stockées dans une base Postgres hébergée par Neon dans eu-central-1 (Francfort, Allemagne). La base est chiffrée au repos. Les sauvegardes sont gérées par Neon selon leurs conditions standard. Le code applicatif qui lit et écrit dans la base est hébergé sur Vercel.

pia_sid — un identifiant de session aléatoire, de première partie, qui expire au bout d’un an. Sert à compter les sessions distinctes sur l’ensemble des pages vues sans vous identifier. Posé à chaque visite, connecté·e ou non.

authjs.session-token — posé lors de votre connexion. De première partie, HTTP-only, Secure, SameSite=Lax, expire après 30 jours d’inactivité ou à votre déconnexion. Contient un JWT signé identifiant votre compte.

Aucun cookie tiers n’est posé sur ce site.

Les personnes qui travaillent avec nous — relecteur·rice·s, professeur·e·s, speakers, coachs — disposent d’un petit dossier supplémentaire attaché à leur compte. À des fins strictement contractuelles et comptables, nous conservons leurs informations d’identité et bancaires : numéro de CIN, RIB, et copies scannées de ces deux documents. Ces éléments ne sont visibles que par l’administration — jamais sur une page publique, jamais par d’autres utilisateur·rice·s.

Nous enregistrons également les signatures de consentement que les membres de l’équipe nous donnent : un consentement média (acceptant que les sessions qu’ils ou elles animent puissent être enregistrées, montées et publiées sur notre site web et nos réseaux sociaux à des fins pédagogiques et promotionnelles — révocable pour les contenus futurs en écrivant à contact@doctoralcompass.com), et, pour les professeur·e·s, une acceptation de leurs conditions de rémunération. Chaque signature est le nom complet tapé, accompagné d’un horodatage. Les sessions animées par les membres de l’équipe peuvent donc être enregistrées et publiées, dans les limites de ce consentement.

Vous pouvez vous déconnecter à tout moment depuis votre tableau de bord, ce qui efface votre cookie de session. Effacer le cookie pia_sid depuis les réglages de votre navigateur rompt tout lien entre vos visites futures et vos visites passées dans nos analyses.

L’export et la suppression de vos données de compte sont en libre-service. Depuis votre tableau de bord, « Télécharger mes données » génère un fichier JSON avec tout ce que nous avons sur votre compte ; « Supprimer mon compte » retire votre compte et chaque réponse au test et chaque rapport associé en quelques secondes. Si pour une raison quelconque les pages en libre-service sont indisponibles, écrivez à tahar@doctoralcompass.com et nous traiterons la demande dans les 30 jours, comme l’exige le RGPD pour les utilisateur·rice·s de l’UE ; nous appliquons la même règle dans le monde entier par principe.

Pour toute question ou demande relative à la confidentialité : tahar@doctoralcompass.com.