Politique de confidentialité

Qui est responsable de vos données ?

Le responsable du traitement est Editions Neftis Limited, société de droit irlandais (private company limited by shares), immatriculée sous le numéro 657742 (Companies Registration Office, Irlande), numéro fiscal 3653014JH.

Siège social : Unit 3D North Point House, North Point Business Park, Old Mallow Road, Cork T23AT2P, République d'Irlande. Adresse commerciale : Moulin de Sainte Catherine, 44430 La Remaudière, France.

Contact pour toute question relative à vos données personnelles : audit@bnm-consulting.eu.

Aucun délégué à la protection des données (DPO) n'a été désigné : l'article 37 du RGPD ne l'impose pas pour une activité de cette taille, qui ne repose ni sur un suivi systématique à grande échelle des personnes, ni sur un traitement à grande échelle de données sensibles. Toute question relative à vos données est adressée au contact ci-dessus.

Données de compte

La création d'un compte est possible de deux façons : par e-mail et mot de passe, ou par connexion avec Google (OAuth 2.0 / OpenID Connect).

• Compte par e-mail : adresse e-mail, et un mot de passe qui n'est jamais stocké en clair - seule son empreinte cryptographique (algorithme Argon2) est conservée, impossible à reconvertir en mot de passe d'origine.
• Compte via Google : identifiant unique Google (« sub »), adresse e-mail, nom, et photo de profil transmis par Google avec votre accord au moment de la connexion. Aucun mot de passe n'est demandé ni stocké pour ce mode de connexion.

Vous pouvez associer les deux méthodes à un même compte, ou n'en utiliser qu'une seule, depuis la page « Mon compte ».

Contenu que vous nous confiez

Pour produire un audit, vous nous transmettez le contenu de l'annonce immobilière à analyser : son adresse ou URL publique, les descriptifs textuels, et les photographies du bien qui y figurent. Ce contenu est traité pour la seule durée nécessaire à la production de l'audit que vous demandez.

Données techniques

À chaque visite, nous enregistrons des données techniques nécessaires au fonctionnement et à la sécurité du service : journaux serveur (date et heure de la requête, page consultée, code de réponse), adresse IP, identifiant du navigateur (user-agent), et le cookie de session décrit ci-dessous.

Pourquoi traitons-nous ces données, et sur quelle base légale ?

• Création et gestion de votre compte, authentification, fourniture du service d'audit - exécution du contrat qui vous lie à nous (article 6.1.b du RGPD).
• Facturation et suivi des crédits/quotas d'audit - exécution du contrat (article 6.1.b).
• Sécurité du service : journaux serveur, verrouillage après échecs de connexion répétés, en-têtes de sécurité - intérêt légitime à protéger le service et ses utilisateurs contre la fraude et les accès non autorisés (article 6.1.f).
• Envoi des e-mails strictement nécessaires au compte (confirmation d'inscription, réinitialisation de mot de passe) - exécution du contrat (article 6.1.b).
• Choix éventuel de vous connecter via Google - consentement donné au moment où vous cliquez sur « Continuer avec Google » (article 6.1.a), que vous pouvez retirer à tout moment en dissociant ce service depuis « Mon compte » (sous réserve d'avoir défini un mot de passe pour ne pas perdre l'accès à votre compte).

Recours à des modèles d'intelligence artificielle

La génération des audits (diagnostic, réécriture, argumentaire) repose sur des modèles d'intelligence artificielle tiers, auxquels nous transmettons le contenu que vous soumettez : descriptifs textuels et photographies du bien. Selon le fournisseur retenu pour votre audit, ce traitement peut impliquer un transfert de ces données hors de l'Union européenne :

• Anthropic PBC (modèles Claude), États-Unis - le traitement a lieu aux États-Unis ; ce transfert hors Union européenne est encadré par les clauses contractuelles types adoptées par la Commission européenne.
• Alibaba Cloud (modèle Qwen) - le traitement s'effectue sur l'infrastructure européenne d'Alibaba Cloud (région eu-central-1, Francfort, Allemagne) : vos données ne quittent donc pas l'Union européenne pour ce fournisseur. Alibaba Cloud propose à ses clients une addenda de traitement des données pour l'Espace économique européen (EEA Data Processing Addendum), intégrée à son contrat-cadre et reprenant les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914). Le groupe Alibaba ayant une société mère enregistrée en Chine, un accès résiduel par une autorité étrangère ne peut être totalement exclu par principe, quel que soit le lieu du traitement technique. Le compte utilisé en production relève du contrat-cadre international d'Alibaba Cloud (alibabacloud.com), et non d'un compte Aliyun Chine à régime distinct : cette addenda s'applique donc bien au traitement décrit ici.

Anthropic PBC déclare dans ses conditions commerciales (Commercial Terms of Service, section « Customer Content ») ne pas entraîner ses modèles sur le contenu transmis par ses clients via l'API. Alibaba Cloud déclare de même dans la foire aux questions de Model Studio ne jamais utiliser les données de ses clients pour entraîner ses modèles. Aucun de vos contenus n'est donc utilisé par ces fournisseurs au-delà du traitement de votre demande.

Autres destinataires

• OVH Limited (30 Old Bailey, London, EC4M 7AU, Royaume-Uni) : hébergeur technique de l'application et de la base de données.
• Le webmestre de votre propre site, uniquement si vous déclenchez vous-même la fonction « Envoyer au webmestre » depuis un audit, à l'adresse que vous avez saisie dans « Mon compte ».

Nous ne vendons ni ne louons vos données personnelles à des tiers à des fins commerciales ou publicitaires.

Durées de conservation

• Données de compte (e-mail, mot de passe haché, identifiant Google, coordonnées de profil) : pendant toute la durée de vie du compte, puis supprimées dans un délai raisonnable après sa suppression.
• Contenu des audits (annonces analysées, photos, rapports produits) : pendant toute la durée de vie du compte, sauf suppression individuelle par vous ; supprimées avec le compte.
• Journaux serveur et données techniques de sécurité : 12 mois, durée usuelle permettant une investigation de sécurité a posteriori sans conservation excessive. Une rotation automatique (purge mensuelle, 12 mois conservés) est configurée sur le serveur pour appliquer cette durée.
• Jetons d'activation et de réinitialisation de mot de passe : durée de validité limitée (quelques heures), supprimés après usage ou expiration.

Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• droit d'accès : obtenir une copie des données que nous détenons sur vous ;
• droit de rectification : corriger des données inexactes ou incomplètes ;
• droit à l'effacement : demander la suppression de vos données, sous réserve des obligations légales de conservation ;
• droit à la portabilité : recevoir vos données dans un format structuré et couramment utilisé ;
• droit d'opposition et droit à la limitation du traitement, dans les cas prévus par le RGPD.

Pour exercer ces droits, écrivez-nous à audit@bnm-consulting.eu. Nous répondons dans un délai d'un mois, éventuellement prolongé de deux mois pour les demandes complexes.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle compétente à titre principal, la Data Protection Commission (DPC) d'Irlande (pays d'établissement de l'éditeur), 6 Pembroke Row, Dublin 2, D02 X963, Irlande (www.dataprotection.ie). Si vous résidez dans un autre pays de l'Union européenne, vous pouvez aussi vous adresser à l'autorité de protection des données de votre propre pays de résidence - en France, la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France (www.cnil.fr).

Cookies

Ce site n'utilise aucun cookie de mesure d'audience, de publicité ou de suivi. Seuls deux cookies strictement nécessaires au fonctionnement du service sont déposés :

Ces cookies étant strictement nécessaires au service que vous avez demandé, ils ne requièrent pas de consentement préalable au sens de la réglementation applicable aux cookies.

Sécurité des données

• chiffrement des échanges en HTTPS et en-tête HSTS ;
• mots de passe hachés avec Argon2, jamais stockés en clair ;
• cookies de session marqués Secure, HttpOnly et SameSite ;
• en-têtes de sécurité (Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy) appliqués à chaque réponse ;
• verrouillage temporaire du compte après plusieurs échecs de connexion consécutifs ;
• cloisonnement strict des données entre comptes : aucun utilisateur ne peut accéder aux audits d'un autre compte.

En cas de violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, nous en informons la Commission Nationale de l'Informatique et des Libertés (CNIL) dans les 72 heures suivant sa connaissance, conformément à l'article 33 du RGPD. Si le risque est élevé pour vous, nous vous en informons également directement, sans délai injustifié, conformément à l'article 34.

Modification de cette politique

Cette politique peut être mise à jour, notamment pour suivre l'évolution du service ou de la réglementation. La date de dernière mise à jour figure en haut de cette page. En cas de changement substantiel, nous vous en informerons par un moyen raisonnable (bandeau sur le site ou e-mail).