1. Responsable de traitement
Le responsable de traitement est une personne physique : Nadir Lahyani, entrepreneur individuel exerçant sous Nadir Lahyani EI, dont l'établissement est situé 200 rue de la Croix Nivert, 75015 Paris, immatriculé sous le SIREN 942 311 333. Il détermine seul les finalités et les moyens des traitements décrits ci-après, et répond personnellement des demandes d'exercice des droits.
Contact pour toute question relative aux données personnelles : Nadir.lahyani@agentimpact.fr. Délégué à la protection des données : aucun délégué à la protection des données n'a été désigné ; les demandes relatives au RGPD sont traitées directement par l'exploitant à l'adresse Nadir.lahyani@agentimpact.fr.
2. Données collectées, finalités et bases légales
| Données | Finalité | Base légale |
|---|---|---|
| Identité de compte (nom, adresse e-mail, image de profil, identifiant utilisateur) — via Clerk | Création et gestion du compte, authentification, sécurisation des accès | Exécution du contrat (art. 6.1.b RGPD) |
| Données de facturation (identifiant client Stripe, plan souscrit, historique de paiement) | Souscription, facturation, gestion des abonnements et de la comptabilité | Exécution du contrat et obligation légale (art. 6.1.b et 6.1.c) |
| Données de projet (adresses recherchées, parcelles analysées, hypothèses financières saisies, notes, projets, rapports générés) | Fourniture du service d'analyse, historique et export des études | Exécution du contrat (art. 6.1.b) |
| Compteurs d'usage (nombre d'analyses sur la fenêtre glissante, journaux de limitation de débit) | Application des quotas d'abonnement et prévention des abus | Exécution du contrat et intérêt légitime (art. 6.1.b et 6.1.f) |
| Journaux techniques et rapports d'erreur (Sentry) : identifiant utilisateur, adresse IP, contexte technique de l'erreur | Diagnostic d'incident, sécurité et amélioration de la fiabilité | Intérêt légitime (art. 6.1.f) |
| Mesure d'audience agrégée (Vercel Analytics, Vercel Speed Insights, Cloudflare Web Analytics) | Statistiques de fréquentation et de performance, sans traceur publicitaire | Intérêt légitime (art. 6.1.f), mesure d'audience sans dépôt de cookie publicitaire |
| Contenus transmis pour analyse par IA (extraits de règlements d'urbanisme, documents PDF déposés) | Extraction et synthèse automatisée des règles d'urbanisme | Exécution du contrat (art. 6.1.b) |
| Messages adressés par e-mail | Traitement des demandes de contact et du support | Intérêt légitime (art. 6.1.f) |
Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée. Le Service ne réalise aucune prospection publicitaire et ne revend aucune donnée.
3. Traitements automatisés
Le Service produit des estimations et un verdict « GO / NO GO » de manière automatisée. Ces résultats portent sur un bien foncier et non sur une personne : ils ne constituent pas une décision automatisée produisant des effets juridiques à l'égard d'une personne au sens de l'article 22 du RGPD. Ils restent de simples aides à la décision, dont la portée est encadrée par les conditions générales.
4. Destinataires et sous-traitants
Les données ne sont accessibles qu'à l'exploitant lui-même — le service n'emploie pas de personnel à ce jour — et aux prestataires techniques suivants, réellement mis en œuvre dans le produit :
| Prestataire | Rôle | Localisation des traitements |
|---|---|---|
| Clerk (Clerk.com, États-Unis) | Authentification et gestion des comptes utilisateurs | États-Unis — clauses contractuelles types / DPF |
| Stripe (Stripe Payments Europe Ltd., Irlande) | Paiement, abonnements et facturation | Union européenne, avec transferts encadrés vers les États-Unis |
| Vercel Inc. (États-Unis) | Hébergement de l'application, mesure d'audience et de performance | Région européenne d'exécution — société établie aux États-Unis |
| Neon Inc. (États-Unis) | Base de données PostgreSQL (comptes, projets, analyses) | Région européenne — société établie aux États-Unis |
| Upstash (Redis managé) | Cache d'analyses et limitation de débit | Région européenne |
| Sentry (Functional Software Inc.) | Collecte des erreurs applicatives et journaux techniques | Union européenne (instance de collecte allemande) |
| Cloudflare Inc. | Mesure d'audience côté site et relais technique des requêtes cartographiques | Réseau mondial — clauses contractuelles types |
| UploadThing | Dépôt et stockage des documents PDF transmis pour analyse | États-Unis — clauses contractuelles types |
| Mistral AI (France) | Vectorisation et extraction des règles d'urbanisme | Union européenne |
| OpenAI (États-Unis) | Synthèse automatisée de zonage et analyse de documents d'urbanisme | États-Unis — clauses contractuelles types |
| Qdrant Cloud | Base vectorielle des règlements d'urbanisme indexés | Région européenne |
| Resend | Envoi d'e-mails transactionnels — prestataire configuré, non activé à ce jour | Union européenne / États-Unis selon la région |
Les données publiques interrogées (cadastre, urbanisme, DVF, risques, OpenStreetMap) sont consultées via des API tierces ; les requêtes correspondantes transmettent la localisation analysée, jamais l'identité de l'utilisateur. Voir la page Sources & attributions.
5. Transferts hors Union européenne
Certains prestataires ci-dessus sont établis hors de l'Union européenne, principalement aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification de l'organisme au titre du EU–US Data Privacy Framework. Une copie des garanties applicables peut être demandée à Nadir.lahyani@agentimpact.fr.
6. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte utilisateur et données associées | Pendant toute la durée de la relation contractuelle, puis suppression sur demande ; à défaut, suppression après trois (3) ans d'inactivité |
| Analyses, projets et rapports générés | Conservation de vos analyses sans limite de durée — aucune purge automatique n'est en place à ce jour ; la suppression intervient à la demande de l'utilisateur ou à la clôture du compte |
| Pièces comptables et factures | Dix (10) ans, en application des obligations comptables et fiscales |
| Journaux techniques et rapports d'erreur | Selon la politique de rétention du prestataire de supervision, au maximum quatre-vingt-dix (90) jours |
| Compteurs de quota et de limitation de débit | Durée de la fenêtre glissante applicable au plan, soit 30 jours |
Aucune purge automatique des analyses n'est implémentée à ce jour. Les durées ci-dessus décrivent l'engagement pris ; leur automatisation est un chantier identifié. Toute demande de suppression est traitée manuellement dans les délais légaux.
7. Partage public d'une étude
Vous pouvez activer, étude par étude, un lien de partage public en lecture seule. Toute personne disposant de ce lien accède au contenu de l'étude concernée (adresse, parcelle, analyse et bilan) sans authentification. Cette publication résulte d'une action volontaire de votre part : n'activez ce partage que pour des études dont la diffusion ne pose pas de difficulté et désactivez-le lorsqu'il n'est plus nécessaire. Le partage est désactivé par défaut.
8. Sécurité
Les échanges sont chiffrés en transit (HTTPS). L'accès aux fonctionnalités est soumis à authentification et à une limitation de débit. Les secrets et clés d'API sont conservés côté serveur uniquement. L'accès aux bases de données est restreint à l'exploitant.
9. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
Ces droits s'exercent par e-mail à Nadir.lahyani@agentimpact.fr ou par courrier à 200 rue de la Croix Nivert, 75015 Paris. Une réponse est apportée dans un délai d'un mois, pouvant être prolongé de deux mois en cas de demande complexe. Une pièce justificative d'identité peut être demandée en cas de doute raisonnable.
Vous pouvez introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.