Politique de Confidentialité

1. Introduction

OmnEstate, une marque d'Omnitys, entreprise individuelle immatriculée en France sous le numéro SIRET 100 408 772 00018 (ci-après "nous", "notre"), s'engage à protéger la confidentialité et la sécurité des données personnelles de ses utilisateurs. Cette politique décrit comment nous collectons, utilisons, stockons et protégeons vos informations conformément au Règlement Général sur la Protection des Données (RGPD, Règlement (UE) 2016/679) et aux lois françaises applicables.

2. Responsable du traitement

Le responsable du traitement des données est :

• Dénomination : Omnitys (entreprise individuelle)
• SIRET : 100 408 772 00018
• Marque commerciale : OmnEstate
• Siège social : France
• Email : hello@omnestate.com

3. Données collectées

3.1 Données d'identification

• Nom, prénom
• Adresse email
• Nom de l'entreprise
• Numéro SIRET

3.2 Données de connexion

• Adresse IP (masquée partiellement)
• Empreinte numérique du navigateur (fingerprint)
• Logs de connexion (date, heure)
• Type de navigateur et système d'exploitation
• Données de session

3.3 Données d'utilisation

• Historique des conversations avec Marc (bras droit IA)
• Adresses et caractéristiques des biens estimés
• Rapports PDF d'estimation générés
• Notes et mémos vocaux enregistrés via le Service, ainsi que leurs transcriptions
• Rendez-vous créés via le Service, y compris l'identité de leurs participants
• Détections issues de la surveillance de secteur et des veilles : adresses et caractéristiques de biens provenant de sources publiques officielles (notamment la base des diagnostics de performance énergétique de l'ADEME)
• Statistiques d'utilisation (nombre d'estimations, quotas consommés)

3.4 Données du canal WhatsApp (activation facultative)

Si vous activez le canal WhatsApp décrit dans nos CGU, nous collectons :

• Le numéro de téléphone mobile associé à votre compte lors du pairage
• Le contenu des messages échangés avec Marc via WhatsApp (textes, mémos vocaux, documents), qui transitent par l'infrastructure de Meta Platforms
• Les transcriptions automatiques de vos mémos vocaux

3.5 Données de vos contacts professionnels (données de tiers)

Lorsque vous enregistrez des contacts professionnels dans le Service (identité, coordonnées, notes de suivi de vendeurs, acquéreurs, notaires ou autres interlocuteurs), ces données concernent des tiers. Vous en êtes le responsable du traitement ; OmnEstate les traite exclusivement pour votre compte et sur vos instructions, en qualité de sous-traitant au sens de l'article 28 du RGPD, dans les conditions prévues par nos CGU.

3.6 Données de paiement

Les informations de paiement (numéro de carte bancaire, coordonnées bancaires) sont collectées et traitées exclusivement par notre prestataire de paiement sécurisé Stripe Inc., certifié PCI-DSS. OmnEstate ne stocke pas directement les données de carte bancaire.

3.7 Données Google Calendar (intégration facultative)

Si vous choisissez de connecter votre agenda Google au Service, nous collectons :

• L'adresse email associée à votre compte Google
• Les événements de calendrier créés, modifiés ou lus par le Service dans le cadre de la gestion de vos rendez-vous
• Les jetons d'accès OAuth délivrés par Google, stockés chiffrés

Cette intégration est facultative et détaillée à la section 10.

4. Finalités du traitement

Vos données sont collectées et traitées pour les finalités suivantes :

• Gestion des comptes utilisateurs : création, authentification, gestion des accès et des sessions
• Fourniture des services : accès à Marc (bras droit IA) via le web et WhatsApp, traitement des requêtes, transcription des mémos vocaux, gestion des notes, contacts, rendez-vous, veilles et surveillances de secteur, génération de rapports PDF et de contenus rédactionnels
• Facturation et paiement : émission de factures, gestion des abonnements et quotas, prévention de la fraude
• Sécurité : protection contre les accès non autorisés, prévention des abus, détection des tentatives de fraude
• Support client : assistance technique, réponse aux demandes
• Amélioration du service : analyse d'utilisation, développement de nouvelles fonctionnalités
• Conformité légale : respect des obligations légales et réglementaires

5. Base légale du traitement

Conformément à l'article 6 du RGPD, le traitement de vos données repose sur les bases légales suivantes :

• Exécution d'un contrat (art. 6.1.b) : fourniture des services souscrits, gestion du compte, facturation
• Intérêt légitime (art. 6.1.f) : amélioration du service, sécurité, prévention de la fraude, statistiques d'utilisation
• Consentement (art. 6.1.a) : communications marketing, cookies non essentiels, activation du canal WhatsApp et des messages à l'initiative du Service (briefing du matin, rappels, veilles)
• Obligation légale (art. 6.1.c) : conservation des données comptables, réponses aux réquisitions judiciaires

Pour les données de vos contacts professionnels (section 3.5), la base légale du traitement relève de votre responsabilité en tant que responsable du traitement ; OmnEstate intervient uniquement en qualité de sous-traitant.

6. Durée de conservation

Nous conservons vos données pour les durées suivantes :

• Données de compte : pendant la durée de votre abonnement + 3 ans après suppression du compte
• Historique des conversations et estimations : 12 mois
• Contenu des messages WhatsApp (textes, mémos vocaux, transcriptions, documents) : 365 jours
• Rapports PDF générés : 30 jours après leur génération
• Contacts professionnels, notes et rendez-vous : pendant la durée d'utilisation du Service ; supprimés à la clôture du compte, sous réserve des obligations légales de conservation
• Données de facturation : 10 ans (obligation légale comptable, article L123-22 du Code de commerce)
• Logs de connexion : 12 mois (sécurité et conformité)
• Cookies : 13 mois maximum (recommandation CNIL)

7. Destinataires des données

7.1 Personnel d'OmnEstate

Vos données sont accessibles aux personnes habilitées au sein d'Omnitys, dans le cadre de leurs fonctions et dans la stricte mesure nécessaire.

7.2 Sous-traitants

Conformément à l'article 28 du RGPD, nous faisons appel aux sous-traitants suivants, liés par des obligations contractuelles de confidentialité et de sécurité :

• Mistral AI (France, UE) : intelligence artificielle, traitement des conversations avec Marc, transcription des mémos vocaux, compilation des veilles
• Anthropic LLC (États-Unis) : intelligence artificielle, rédaction des rapports d'estimation par le modèle de langage Claude
• OpenAI (États-Unis) : transcription des mémos vocaux, uniquement en secours en cas d'indisponibilité du service de transcription principal
• Meta Platforms (Irlande/États-Unis) : acheminement des messages WhatsApp (numéro de téléphone, messages, médias)
• Stripe Inc (États-Unis) : paiement en ligne, gestion des transactions et abonnements
• Railway Corp (États-Unis) : hébergement, infrastructure serveur, base de données et cache
• Vercel Inc (États-Unis) : hébergement des interfaces web
• Cloudflare Inc (États-Unis) : protection anti-robots lors de la connexion
• Resend : emails transactionnels, envoi des emails de vérification, notifications et communications de service

Nous n'autorisons pas l'utilisation de vos données par ces prestataires pour entraîner leurs modèles d'intelligence artificielle.

7.3 Autorités légales

En cas de réquisition judiciaire ou d'obligation légale, nous pouvons être amenés à communiquer vos données aux autorités compétentes.

8. Transferts internationaux

Certains de nos sous-traitants sont situés aux États-Unis. Ces transferts sont encadrés conformément au chapitre V du RGPD par :

• Des clauses contractuelles types approuvées par la Commission Européenne (article 46.2.c du RGPD)
• L'adhésion au EU-US Data Privacy Framework lorsque applicable

Les sous-traitants concernés par des transferts hors UE sont :

• Anthropic LLC (San Francisco, USA) : données transmises incluant le contenu des conversations d'estimation (adresses, caractéristiques des biens)
• OpenAI (San Francisco, USA) : mémos vocaux transmis uniquement en cas de recours au service de transcription de secours
• Meta Platforms (Irlande/USA) : numéro de téléphone et contenu des messages WhatsApp
• Stripe Inc (San Francisco, USA) : données transmises incluant les informations de paiement et l'identité client
• Railway Corp (USA) : données transmises incluant l'ensemble des données hébergées (base de données, sessions)
• Vercel Inc (USA) : données techniques liées à la diffusion des interfaces web
• Cloudflare Inc (USA) : données techniques liées à la protection anti-robots lors de la connexion

Mistral AI est établi en France : les traitements correspondants sont réalisés au sein de l'Union Européenne.

9. Décision automatisée et profilage

Conformément à l'article 22 du RGPD, nous vous informons que le Service fait appel à un traitement automatisé pour la génération des estimations immobilières :

• Nature du traitement : les estimations sont générées par un système d'intelligence artificielle (modèle de langage) qui analyse les données du bien et les compare aux données publiques disponibles
• Logique sous-jacente : le système utilise les transactions immobilières passées (DVF), les données socio-démographiques (INSEE), les risques naturels et technologiques (Géorisques) et les points d'intérêt à proximité pour produire une estimation
• Conséquences : les estimations sont purement indicatives et n'ont pas d'effet juridique contraignant
• Droit d'intervention humaine : l'Utilisateur peut à tout moment demander une vérification ou une explication complémentaire sur les résultats générés en contactant hello@omnestate.com

10. Intégration Google Calendar et données Google

Le Service propose une connexion facultative à Google Calendar afin de synchroniser vos rendez-vous professionnels. Cette connexion utilise le protocole OAuth 2.0 de Google et demande les autorisations suivantes : gestion des événements de votre calendrier (portée "calendar.events") et lecture de l'adresse email de votre compte Google.

10.1 Utilisation des données Google

• Les données de votre calendrier sont utilisées exclusivement pour créer, mettre à jour et consulter les rendez-vous que vous demandez via le Service
• Elles ne sont jamais utilisées à des fins publicitaires, jamais vendues et jamais utilisées pour entraîner des modèles d'intelligence artificielle
• Elles ne sont transmises à aucun tiers, à l'exception de notre hébergeur (Railway Corp) dans le cadre du stockage décrit à la section 7.2
• Aucun humain ne lit ces données, sauf avec votre consentement explicite, pour des besoins de sécurité ou pour répondre à une obligation légale

10.2 Stockage et sécurité

Les jetons d'accès et de rafraîchissement OAuth sont stockés chiffrés au repos. Les données de calendrier sont conservées tant que l'intégration est active.

10.3 Révocation

Vous pouvez déconnecter votre agenda Google à tout moment depuis les réglages du Service : les jetons sont alors révoqués auprès de Google et supprimés de nos systèmes. Vous pouvez également retirer l'accès depuis les paramètres de sécurité de votre compte Google (myaccount.google.com/permissions).

10.4 Conformité à la politique Google

L'utilisation par OmnEstate des informations reçues des API Google, ainsi que leur transfert vers toute autre application, respecte la Google API Services User Data Policy, y compris les exigences relatives à l'utilisation limitée (Limited Use).

11. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données, conformément à l'article 32 du RGPD :

• Chiffrement des données en transit (HTTPS/TLS) et au repos (AES-256)
• Authentification forte (JWT + sessions sécurisées Redis)
• Hachage des mots de passe (bcrypt)
• Protection contre les attaques par force brute (limitation progressive)
• Contrôles d'accès basés sur les rôles (RBAC)
• Surveillance et détection des intrusions
• Sauvegardes régulières et chiffrées
• Limitation du nombre de sessions simultanées (5 appareils maximum)

12. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir une copie de vos données personnelles
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes
• Droit à l'effacement (art. 17) : supprimer vos données dans certaines conditions
• Droit à la limitation (art. 18) : limiter le traitement de vos données
• Droit à la portabilité (art. 20) : récupérer vos données dans un format structuré et lisible par machine
• Droit d'opposition (art. 21) : vous opposer au traitement de vos données pour certaines finalités
• Droit de retirer votre consentement (art. 7.3) : pour les traitements basés sur le consentement, à tout moment et sans effet rétroactif
• Droit relatif à la décision automatisée (art. 22) : obtenir une intervention humaine, exprimer votre point de vue et contester une décision automatisée

Pour exercer ces droits, contactez-nous à hello@omnestate.com en précisant votre demande et en joignant un justificatif d'identité. Nous y répondrons dans un délai d'un mois, conformément à l'article 12.3 du RGPD.

13. Cookies et technologies similaires

13.1 Types de cookies

Notre site utilise les cookies suivants :

• Cookies strictement nécessaires : authentification, session, sécurité, protection CAPTCHA (aucun consentement requis, conformément à l'article 82 de la loi Informatique et Libertés)
• Cookies de performance : analyse d'utilisation (avec consentement préalable)
• Cookies fonctionnels : préférences utilisateur (avec consentement préalable)

13.2 Gestion des cookies

Vous pouvez gérer vos préférences de cookies à tout moment via les paramètres de votre navigateur. Le retrait du consentement aux cookies non essentiels n'affecte pas le fonctionnement de base du Service.

14. Mineurs

Notre Service est réservé aux professionnels. Nous ne collectons pas sciemment de données concernant des personnes de moins de 18 ans.

15. Modifications de la politique

Cette politique peut être modifiée pour refléter les évolutions légales ou de nos pratiques. La date de dernière mise à jour est indiquée en haut de ce document. Les Utilisateurs seront informés des modifications substantielles par email au moins 30 jours avant leur entrée en vigueur.

16. Réclamations

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Site web : www.cnil.fr
• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Téléphone : 01 53 73 22 22

17. Contact

Pour toute question relative à cette politique de confidentialité ou à la protection de vos données :

• Email : hello@omnestate.com
• Site web : omnestate.ai