Politique de Confidentialité

1. Introduction

Le responsable du traitement (ci-après "nous", "notre") s'engage à protéger et respecter votre vie privée.

La présente Politique de Confidentialité décrit comment nous collectons, utilisons, stockons et protégeons vos données personnelles dans le cadre de l'utilisation de Copimo, conformément au Règlement Général sur la Protection des Données (RGPD - UE 2016/679).

En utilisant Copimo, vous acceptez les pratiques décrites dans cette politique.

2. Responsable du traitement

Au sens de l'article 4(7) du RGPD, le responsable du traitement de vos données personnelles est :

• Nom : Oscar Sciarini
• Statut : Particulier (Copimo est en phase de bêta gratuite, aucune entité commerciale immatriculée à ce jour)
• Email : hello@copimo.app

Pour l'adresse postale complète de l'éditeur, consultez les Mentions légales.

Délégué à la Protection des Données (DPO) : Non désigné — la désignation d'un DPO n'est pas obligatoire au regard de l'article 37 du RGPD compte tenu de la nature et de l'échelle du traitement. Pour toute question RGPD, contactez-nous à hello@copimo.app.

3. Données collectées

3.1 Données d'identification

Lors de la création de votre compte, nous collectons :

• Nom et prénom
• Adresse email professionnelle
• Nom de votre agence immobilière
• Mot de passe (hashé et sécurisé avec bcrypt)

3.2 Données de transaction

Dans le cadre de l'utilisation du service, nous collectons :

• Informations sur les transactions immobilières (adresse, type de bien, parties prenantes)
• Documents uploadés (pièces d'identité, attestations, diagnostics, etc.)
• Historique des actions (validation documents, envoi emails, etc.)

3.3 Données de connexion via fournisseur d'identité (Google / Microsoft)

Lorsque vous vous connectez à Copimo via votre compte Google ou Microsoft (OAuth 2.0), nous recevons et stockons uniquement les informations nécessaires à votre authentification :

• Adresse email du compte (scope email)
• Nom et prénom du profil public (scope profile)
• Identifiant unique du compte côté Google/Microsoft (scope openid)

Nous ne demandons aucune permission d'accès à vos emails, votre agenda, vos fichiers ou tout autre contenu de votre compte Google/Microsoft. Les emails envoyés depuis Copimo transitent par notre prestataire Resend, jamais par votre boîte mail personnelle.

3.4 Données techniques

Automatiquement collectées lors de l'utilisation :

• Adresse IP
• Type de navigateur et système d'exploitation
• Pages consultées et durée de visite
• Logs d'erreurs (via Sentry pour débogage)
• Cookies (voir notre Politique Cookies)

4. Finalités du traitement

Vos données personnelles sont traitées pour les finalités suivantes :

4.1 Fourniture du service

• Gestion de votre compte utilisateur
• Gestion des transactions immobilières
• Stockage et organisation des documents
• Envoi d'emails automatisés (rappels, notifications) via Resend
• Génération de statistiques et rapports

4.2 Amélioration du service

• Analyse des performances et bugs
• Développement de nouvelles fonctionnalités
• Optimisation de l'expérience utilisateur

4.3 Communication

• Envoi d'emails transactionnels (confirmation compte, réinitialisation mot de passe)
• Notifications importantes sur le service
• Support client
• Newsletters (avec votre consentement explicite)

4.4 Obligations légales

• Réponse aux réquisitions judiciaires
• Lutte contre la fraude et les abus

5. Base légale du traitement

Conformément au RGPD, nos traitements reposent sur :

• Exécution des conditions d'utilisation (Article 6.1.b) : Fourniture du service Copimo en phase de bêta
• Consentement (Article 6.1.a) : Connexion via Google/Microsoft, newsletters, cookies non-essentiels
• Intérêt légitime (Article 6.1.f) : Amélioration du service, sécurité, prévention de la fraude
• Obligation légale (Article 6.1.c) : Réquisitions judiciaires

6. Durée de conservation

6.1 Données de compte actif

Vos données sont conservées tant que votre compte est actif au sein du programme bêta.

6.2 Après suppression du compte

• Données de compte et transactions : 3 mois après suppression
• Documents uploadés : 3 mois (possibilité d'export avant suppression)
• Logs techniques : 12 mois maximum

6.3 Suppression automatique

À l'issue des périodes ci-dessus, vos données sont automatiquement et définitivement supprimées de nos systèmes et de nos backups.

7. Destinataires des données

7.1 Personnel autorisé

Seuls les membres de notre équipe strictement nécessaires ont accès à vos données (développeurs, support client).

7.2 Sous-traitants

Nous faisons appel aux sous-traitants suivants, tous conformes RGPD :

• Supabase (Hébergement base de données et stockage de fichiers — Infrastructure AWS Europe)
• Vercel (Hébergement application web — CDN global)
• Resend (Envoi d'emails transactionnels — Serveurs EU)
• Upstash (Cache Redis pour rate limiting — Serveurs EU)
• Google (Authentification OAuth — Serveurs hors UE avec CCT)
• Microsoft (Authentification OAuth — Serveurs hors UE avec CCT)
• Sentry (Monitoring erreurs — Serveurs EU)
• PostHog (Analytics produit — Serveurs EU)
• Plausible (Analytics audience — Serveurs EU, privacy-friendly)
• Crisp (Chat support client — Serveurs EU)
• Anthropic (Extraction IA de mandats — uniquement si la fonctionnalité est activée, traitement éphémère sans stockage)

7.3 Autorités légales

Nous pouvons transmettre vos données aux autorités compétentes en cas de réquisition judiciaire ou d'obligation légale.

8. Transferts hors UE

Nous privilégions les hébergements au sein de l'Union Européenne. Toutefois, certains sous-traitants (Vercel, Sentry) peuvent utiliser des serveurs hors UE.

Dans ce cas, les transferts sont encadrés par :

• Clauses Contractuelles Types (CCT) approuvées par la Commission Européenne
• Certifications (Privacy Shield successeur, ISO 27001)
• Garanties équivalentes au niveau de protection européen

9. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :

9.1 Mesures techniques

• Chiffrement : HTTPS (TLS 1.3), chiffrement at-rest (AES-256)
• Hashage mots de passe : bcrypt avec 12 rounds
• Tokens OAuth chiffrés en base de données
• Backups automatiques quotidiens avec rétention 30 jours
• Monitoring sécurité : Détection intrusions, logs d'audit
• Headers de sécurité : CSP, HSTS, X-Frame-Options
• Rate limiting : Protection contre brute force et spam

9.2 Mesures organisationnelles

• Accès restreint : Principe du moindre privilège
• Authentification forte pour l'équipe
• Formation sécurité du personnel
• Procédures de gestion incidents
• Audits de sécurité réguliers

9.3 Notification de violation

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informerons dans les 72 heures et notifierons la CNIL conformément à l'article 33 du RGPD.

10. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

10.1 Droit d'accès (Art. 15)

Vous pouvez obtenir une copie de vos données personnelles et des informations sur leur traitement.

10.2 Droit de rectification (Art. 16)

Vous pouvez corriger vos données inexactes ou incomplètes directement depuis votre espace utilisateur ou en nous contactant.

10.3 Droit à l'effacement - "Droit à l'oubli" (Art. 17)

Vous pouvez demander la suppression de vos données personnelles, sauf si nous avons une obligation légale de conservation (ex: factures 10 ans).

10.4 Droit à la portabilité (Art. 20)

Vous pouvez recevoir vos données dans un format structuré et lisible par machine (JSON/CSV) et les transmettre à un autre responsable de traitement.

10.5 Droit d'opposition (Art. 21)

Vous pouvez vous opposer au traitement de vos données pour des raisons tenant à votre situation particulière, notamment pour le marketing direct.

10.6 Droit à la limitation (Art. 18)

Vous pouvez demander la limitation du traitement dans certaines circonstances (contestation exactitude, traitement illicite, etc.).

10.7 Retrait du consentement (Art. 7.3)

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment (ex: déconnexion compte Google/Microsoft, désinscription newsletter).

10.8 Comment exercer vos droits

Pour exercer ces droits, contactez-nous :

• Email : hello@copimo.app

L'adresse postale de l'éditeur est disponible dans les Mentions légales si vous souhaitez nous écrire par courrier.

Joignez une copie de votre pièce d'identité. Nous répondrons dans un délai de 1 mois(prolongeable de 2 mois si complexité).

10.9 Droit de réclamation

Vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) :
CNIL - 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07
www.cnil.fr

11. Cookies et technologies similaires

Copimo utilise des cookies pour améliorer votre expérience. Pour en savoir plus, consultez notre Politique Cookies.

12. Modifications de cette politique

Nous pouvons modifier cette Politique de Confidentialité pour refléter les changements de nos pratiques ou des obligations légales.

En cas de modification substantielle, nous vous en informerons par email au moins 30 jours avant l'entrée en vigueur. La poursuite de l'utilisation vaut acceptation de la nouvelle politique.

13. Contact

Pour toute question concernant cette Politique de Confidentialité ou vos données personnelles :

• Email : hello@copimo.app