Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement au sens de l'article 4 du RGPD est [À COMPLÉTER : raison sociale de l'éditeur de Surcote], dont le siège est situé [À COMPLÉTER : adresse].
Contact données personnelles : contact@surcote.fr.

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du Service :

• Compte : prénom, nom, adresse email, mot de passe (haché), téléphone (facultatif).
• Profil : objectif (achat locatif, résidence principale…), budget, zone recherchée, saisis volontairement lors de l'onboarding.
• Historique : URLs des annonces analysées, résultats d'analyse et rapports PDF téléchargés.
• Paiement : gérés par notre prestataire Paddle ; nous ne stockons jamais les numéros de carte bancaire.
• Comptes Pro (agences) : nom de l'agence, SIRET, logo, membres invités.
• Techniques : logs applicatifs, adresse IP, user-agent, horodatage, indispensables à la sécurité et à la lutte contre l'abus.

Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions politiques, orientation sexuelle…) n'est collectée.

3. Finalités et bases légales

• Fournir le Service (analyses, historique, quotas) — exécution du contrat (art. 6.1.b).
• Facturer les offres payantes — exécution du contrat + obligation légale (art. 6.1.b et 6.1.c).
• Envoyer les emails transactionnels (confirmation, réinitialisation, rapport prêt, invitations agence) — exécution du contrat.
• Prévenir la fraude et l'abus (quotas, sécurité) — intérêt légitime (art. 6.1.f).
• Améliorer le Service (statistiques anonymisées) — intérêt légitime.
• Emails d'information optionnels (nouveautés produit) — consentement (art. 6.1.a), révocable à tout moment.

4. Durées de conservation

• Compte utilisateur : durée de vie du compte + 12 mois après dernière connexion, puis suppression ou anonymisation.
• Historique d'analyses : tant que le compte est actif, supprimé avec le compte.
• Données comptables et factures : 10 ans, obligation légale.
• Logs de sécurité : 12 mois maximum.
• Prospects invités par une agence n'ayant pas créé de compte : 90 jours.

5. Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Elles sont traitées par les sous-traitants suivants, tous situés dans l'Union européenne ou couverts par des garanties adéquates (clauses contractuelles types) :

• Infrastructure cloud managée — hébergement applicatif et base de données, UE.
• o2switch — hébergement du site vitrine et des enregistrements DNS, France.
• Paddle.com Market Ltd — traitement des paiements en qualité de Merchant of Record, UE/UK.
• Google Ireland Ltd — authentification Google OAuth (uniquement si vous choisissez ce mode de connexion).
• Fournisseurs d'IA — envoi anonymisé de textes d'annonces au modèle Gemini de Google Ireland Ltd pour la rédaction des rapports ; aucune donnée d'identification personnelle n'est transmise.
• APIs publiques (DGFiP DVF, INSEE, Géorisques, BAN) — appelées sans transmission d'identifiant utilisateur.

6. Transferts hors UE

Certains sous-traitants (Cloudflare, Google) peuvent opérer des infrastructures internationales. Les transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne et par des mesures techniques (chiffrement en transit et au repos).

7. Cookies et traceurs

Surcote utilise uniquement des cookies techniques nécessaires au fonctionnement du service (session d'authentification, préférences de suivi de parrainage). Aucun cookie publicitaire ni traceur tiers à des fins de mesure d'audience n'est déposé sans base légale. Aucun bandeau de consentement n'est donc requis pour ces cookies strictement nécessaires (article 82 de la loi Informatique et Libertés).

8. Sécurité

• Chiffrement TLS 1.2+ sur l'ensemble des échanges.
• Mots de passe stockés sous forme de hash (bcrypt / scrypt) par notre prestataire d'auth.
• Accès aux données restreint aux personnes habilitées et journalisé.
• Politiques de sécurité au niveau base de données (Row Level Security) empêchant l'accès croisé entre comptes.
• Sauvegardes régulières et supervision applicative.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès et de copie de vos données.
• Droit de rectification.
• Droit à l'effacement (« droit à l'oubli »).
• Droit à la limitation du traitement.
• Droit à la portabilité.
• Droit d'opposition pour motif légitime.
• Droit de définir des directives post-mortem.
• Droit de retirer votre consentement à tout moment lorsque le traitement en dépend.

Pour exercer ces droits, écrivez à contact@surcote.fr depuis l'adresse email associée à votre compte. Une réponse vous sera apportée sous un mois.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, 75007 Paris — www.cnil.fr.

10. Mineurs

Le Service n'est pas destiné aux mineurs. Aucun compte ne doit être créé par une personne de moins de 16 ans sans le consentement de ses représentants légaux.

11. Modifications

Nous pouvons faire évoluer cette politique pour refléter des évolutions techniques, légales ou fonctionnelles. La date de mise à jour figure en tête de document. En cas de changement substantiel, une information sera adressée aux utilisateurs par email.