Politique de confidentialité

1. Préambule

La présente politique décrit la manière dont crushimmo collecte, utilise et protège les données personnelles de ses visiteurs et clients, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi française Informatique et Libertés.

2. Responsable du traitement

Le responsable du traitement est l'éditeur du service crushimmo, joignable via le formulaire de contact. Voir mentions légales pour les coordonnées complètes.

3. Données collectées

• Création de compte : nom, prénom, e‑mail, mot de passe (haché en argon2id, jamais stocké en clair).
• Facturation : adresse postale, numéro SIREN éventuel, données de paiement (gérées exclusivement par PayPal — nous ne recevons jamais les numéros de carte).
• Site immobilier : contenu publié (présentation, biens, articles, photos, secteurs).
• Logs serveur : adresse IP, user‑agent, date/heure, page consultée. Conservés 1 an pour des raisons de sécurité (détection de fraude, debug).
• E‑mails de support : contenu des échanges via le formulaire de contact ou par e‑mail direct.

4. Finalités et bases légales

• Exécution du contrat (art. 6.1.b RGPD) — création du compte, provisionnement du site, support, facturation.
• Obligations légales (art. 6.1.c) — conservation comptable des factures (10 ans), lutte contre la fraude.
• Intérêt légitime (art. 6.1.f) — sécurisation du service, prévention des abus.
• Consentement (art. 6.1.a) — pour toute communication marketing optionnelle (newsletter), avec opt‑in explicite et désinscription en un clic.

5. Durées de conservation

• Compte client actif : pendant toute la durée de la relation contractuelle.
• Compte client clôturé : 3 ans après la dernière interaction (prospection commerciale).
• Factures et données comptables : 10 ans (obligation légale).
• Logs serveur : 1 an.
• Cookies : voir politique cookies.

6. Destinataires et sous‑traitants

Vos données ne sont jamais vendues ni cédées à des tiers. Elles peuvent être traitées par les sous‑traitants suivants, tous engagés par contrat à respecter le RGPD :

• PayPal (Luxembourg / États‑Unis avec garanties de transfert) — traitement des paiements.
• Hébergeur [à compléter] — hébergement physique des serveurs.
• Let's Encrypt (États‑Unis) — émission des certificats SSL.
• Gandi (France) — relais SMTP pour les e‑mails transactionnels.

7. Transferts hors UE

Certains sous‑traitants (PayPal, Let's Encrypt) sont situés ou opèrent partiellement aux États‑Unis. Les transferts sont encadrés par les Clauses Contractuelles Types de la Commission Européenne et, pour PayPal, par leur certification au Data Privacy Framework.

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès — obtenir une copie des données vous concernant.
• Rectification — corriger les données inexactes.
• Effacement (« droit à l'oubli ») — supprimer vos données, sauf obligation légale de conservation.
• Limitation — suspendre temporairement le traitement.
• Portabilité — récupérer vos données dans un format structuré (JSON / CSV).
• Opposition — refuser certains traitements (notamment marketing).
• Définir des directives post‑mortem — art. 85 loi Informatique et Libertés.

Pour exercer ces droits, utilisez le formulaire de contact en précisant « RGPD » en objet. Réponse sous 30 jours maximum. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Vous avez également le droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : connexions chiffrées (HTTPS partout), mots de passe hachés en argon2id, isolation des bases de données par client, accès administrateur restreint et journalisé. Conformément au droit à la portabilité (art. 20 RGPD), chaque client peut exporter à tout moment l'intégralité de ses données (base + fichiers) depuis l'administration de son site.

10. Cookies

Voir notre politique de gestion des cookies dédiée. En résumé : aucun cookie de tracking publicitaire, uniquement un cookie de session strictement nécessaire pour la connexion.

11. Modifications

Cette politique peut évoluer. Toute modification substantielle sera notifiée par e‑mail aux clients existants au moins 30 jours avant son entrée en vigueur. La date en tête de page reflète la dernière version.