Politique de confidentialité

1. Préambule

La présente politique décrit la manière dont crushimmo collecte, utilise et protège les données personnelles de ses visiteurs et clients, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi française Informatique et Libertés.

2. Responsable du traitement

Le responsable du traitement est l'éditeur du service crushimmo, joignable via le formulaire de contact. Voir mentions légales pour les coordonnées complètes.

3. Données collectées

• Création de compte : nom, prénom, e‑mail, mot de passe (haché en argon2id, jamais stocké en clair).
• Facturation : nom de l'entreprise, numéro SIRET ou SIREN, adresse postale, déclaration de souscription pour votre activité professionnelle, données de paiement. La carte bancaire est saisie chez Stripe : nous ne recevons pas le numéro complet de votre carte, seulement sa marque, ses 4 derniers chiffres et sa date d'expiration, pour vous permettre de la reconnaître dans votre espace.
• Avis sur crushimmo (facultatif) : note, texte, nom et activité que vous choisissez d'afficher, date de votre accord de publication.
• Site immobilier : contenu publié (présentation, biens, articles, photos, secteurs).
• Mesure d'audience : pages vues, provenance (moteur de recherche, réseau social, site référent), type d'appareil et région approximative de chaque visite, rattachés à un condensat anonyme du cookie de session. Votre adresse IP n'est pas conservée : elle sert seulement à déduire la région, sur notre serveur, puis est oubliée. Aucun outil tiers, aucune donnée transmise. Conservation 13 mois (base légale : intérêt légitime, mesure exemptée de consentement).
• Journaux techniques : adresse IP, user‑agent, date/heure, page consultée. Conservés 14 jours pour les journaux du serveur web et 12 mois au plus pour les journaux applicatifs (envois d'e‑mails, tâches automatiques), pour des raisons de sécurité et de diagnostic.
• E‑mails de support : contenu des échanges via le formulaire de contact ou par e‑mail direct.

4. Finalités et bases légales

• Exécution du contrat (art. 6.1.b RGPD) — création du compte, provisionnement du site, support, facturation.
• Obligations légales (art. 6.1.c) — conservation comptable des factures (10 ans), lutte contre la fraude.
• Intérêt légitime (art. 6.1.f) — sécurisation du service, prévention des abus.
• Consentement (art. 6.1.a) — pour toute communication marketing optionnelle (newsletter), avec opt‑in explicite et désinscription en un clic.

5. Durées de conservation

• Compte client actif : pendant toute la durée de la relation contractuelle.
• Compte client clôturé : 3 ans après la dernière interaction (prospection commerciale).
• Factures et données comptables : 10 ans (obligation légale).
• Avis sur crushimmo : jusqu'à ce que vous le retiriez depuis votre espace, ou jusqu'à la suppression de votre compte.
• Nom et adresse e-mail conservés pour vous rendre votre nom de domaine après la suppression de votre compte : 60 jours au plus, et effacés dès que le transfert est fait.
• Journaux du serveur web : 14 jours. Journaux applicatifs : 12 mois au plus.
• Cookies : voir politique cookies.

6. Destinataires et sous‑traitants

Vos données ne sont jamais vendues ni cédées à des tiers. Elles peuvent être traitées par les sous‑traitants suivants, tous engagés par contrat à respecter le RGPD :

• Stripe Payments Europe Ltd (Irlande) — paiement par carte bancaire et enregistrement de la carte pour les échéances suivantes (politique de confidentialité de Stripe).
• OVH SAS (OVHcloud) (serveurs situés au Canada) — hébergement du service et des sites.
• Resend (États‑Unis) — envoi des e‑mails transactionnels.
• Let's Encrypt (États‑Unis) — émission des certificats SSL.
• Gandi SAS (France) — réservation et gestion des noms de domaine, et boîtes e‑mail associées, lorsque le client en demande un.
• OpenAI Ireland Ltd / OpenAI, L.L.C. (Irlande et États‑Unis) — génération des contenus rédigés automatiquement à la création d'un site (présentations de communes, articles, image d'accueil) et des descriptions d'annonces demandées depuis l'administration. Seuls les éléments nécessaires à la rédaction sont transmis (commune, caractéristiques du bien) ; aucune donnée de visiteur ni de prospect n'est envoyée, et les contenus transmis ne servent pas à entraîner les modèles.

7. Transferts hors UE

Les serveurs qui hébergent le service sont situés au Canada, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat (décision d'adéquation).

Certains sous‑traitants (Resend, Let's Encrypt, OpenAI) sont situés ou opèrent partiellement aux États‑Unis. Les transferts sont encadrés par les Clauses Contractuelles Types de la Commission Européenne ou par la certification du prestataire au Data Privacy Framework.

Stripe traite vos données de paiement depuis l'Union européenne (Irlande) ; certaines opérations sont réalisées par Stripe, Inc. aux États‑Unis, dans le cadre du Data Privacy Framework et des Clauses Contractuelles Types.

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès — obtenir une copie des données vous concernant.
• Rectification — corriger les données inexactes.
• Effacement (« droit à l'oubli ») — supprimer vos données, sauf obligation légale de conservation.
• Limitation — suspendre temporairement le traitement.
• Portabilité — récupérer vos données dans un format structuré (JSON / CSV).
• Opposition — refuser certains traitements (notamment marketing).
• Définir des directives post‑mortem — art. 85 loi Informatique et Libertés.

Pour exercer ces droits, utilisez le formulaire de contact en précisant « RGPD » en objet. Réponse sous 30 jours maximum. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Vous avez également le droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : connexions chiffrées (HTTPS partout), mots de passe hachés en argon2id, isolation des bases de données par client, accès administrateur restreint et journalisé. Conformément au droit à la portabilité (art. 20 RGPD), chaque client peut exporter à tout moment l'intégralité de ses données (base + fichiers) depuis l'administration de son site.

10. Cookies

Voir notre politique de gestion des cookies dédiée. En résumé : aucun cookie de tracking publicitaire, uniquement un cookie de session strictement nécessaire pour la connexion.

11. Modifications

Cette politique peut évoluer. Toute modification substantielle sera notifiée par e‑mail aux clients existants au moins 30 jours avant son entrée en vigueur. La date en tête de page reflète la dernière version.