Politique de confidentialité

1. Qui est responsable

Le responsable des traitements décrits ici est un entrepreneur individuel (micro-entreprise) exerçant sous le nom commercial Permika (l'« Éditeur »). Pour toute question relative à vos données : contact@permika.com.

2. Ce que nous traitons, pourquoi, et combien de temps

2.1 Votre compte

• Données : nom, adresse e-mail, mot de passe (conservé sous forme hachée, jamais en clair), type de compte (particulier ou professionnel), profession le cas échéant, identifiant Google si vous choisissez de vous connecter avec Google ; pour la sécurité des sessions, adresse IP et navigateur.
• Pourquoi : créer et sécuriser votre compte, vous authentifier, vous envoyer les messages indispensables (vérification d'adresse, réinitialisation du mot de passe, invitations d'agence, confirmations de commande).
• Base légale : l'exécution du contrat (art. 6.1.b du RGPD) ; la sécurité du service, intérêt légitime de l'Éditeur (art. 6.1.f).
• Durée : tant que le compte est ouvert. Un compte inactif depuis trois ans est supprimé, après un avertissement par e-mail. Une session expire après trente jours.

2.2 Vos dossiers

• Données : tout ce que vous saisissez ou importez pour constituer un dossier — identité et adresse du demandeur, adresse et références cadastrales du terrain, plans, notice, photographies, documents joints.
• Pourquoi : vous fournir l'Atelier — enregistrer, afficher, contrôler et exporter vos dossiers.
• Base légale : l'exécution du contrat.
• Durée : tant que le dossier existe dans votre compte. Un dossier supprimé l'est définitivement ; à la fermeture du compte, les dossiers sont supprimés sous trente jours, et disparaissent des sauvegardes au terme de leur rotation.

2.3 Achats, licences et factures

• Données : offre achetée, montant, date, projet couvert par la licence (commune, parcelle, nom du demandeur), identifiant client et références de paiement chez Stripe, factures. Nous ne recevons ni ne conservons jamais vos données de carte bancaire : elles sont saisies dans le formulaire de Stripe.
• Pourquoi : encaisser, délivrer et contrôler les licences, établir les factures, tenir la comptabilité.
• Base légale : l'exécution du contrat ; les obligations comptables et fiscales (art. 6.1.c).
• Durée : dix ans pour les pièces comptables et les factures (art. L.123-22 du code de commerce) ; la licence, tant qu'elle produit ses effets.

2.4 Preuve des consentements et des exports

• Données : acceptation des conditions générales, déclaration de professionnel, demande de fourniture immédiate et reconnaissance de la perte du droit de rétractation — avec le texte exact présenté, sa version, la date et l'heure, l'adresse IP et le navigateur ; date et nombre des exports.
• Pourquoi : pouvoir établir, en cas de réclamation ou de litige, ce que vous avez accepté et quand le contenu vous a été fourni.
• Base légale : l'intérêt légitime de l'Éditeur à se ménager la preuve de ses contrats et à défendre ses droits (art. 6.1.f).
• Durée : cinq ans après la fin de la relation contractuelle, délai de prescription de droit commun.

2.5 Vérification du dossier en mairie

• Données : le récapitulatif des contrôles du tirage exporté, une empreinte du nom du demandeur sous forme normalisée et un jeton de vérification, dont nous ne conservons que l'empreinte.
• Pourquoi : permettre au service instructeur, muni du dossier papier et du nom du demandeur, de consulter l'état contrôlé du tirage qu'il a entre les mains.
• Base légale : l'exécution du contrat.
• Durée : tant que le compte est ouvert.

2.6 Support et retours

• Données : vos messages, votre adresse e-mail, et le contexte technique que vous choisissez de joindre.
• Pourquoi : vous répondre, corriger les défauts signalés, améliorer le service.
• Base légale : l'intérêt légitime de l'Éditeur.
• Durée : trois ans après le dernier échange.

2.7 Sécurité et prévention des abus

• Données : adresse IP, horodatage et nature des requêtes sensibles (connexion, paiement, vérification).
• Pourquoi : limiter les tentatives de connexion en force, détecter les fraudes et les contournements de licence.
• Base légale : l'intérêt légitime de l'Éditeur.
• Durée : quelques minutes à quelques heures pour les compteurs de limitation ; un an pour les journaux de sécurité.

Nous n'envoyons aucune prospection commerciale sans votre consentement préalable, et ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard.

3. Avec qui

Vos données ne sont ni vendues, ni louées, ni cédées. Elles ne sont accessibles qu'aux personnes habilitées de l'Éditeur et aux prestataires suivants, qui agissent pour son compte et sur ses instructions :

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis — hébergement de l'application et des fichiers ; serveurs situés dans l'Union européenne (Francfort, Paris) ;
• Neon Inc., États-Unis — hébergement de la base de données ; région de stockage : UE ;
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlande — paiement et facturation. Stripe traite aussi certaines données en responsable de traitement distinct, pour ses propres obligations de prévention de la fraude et de conformité réglementaire ;
• OVH SAS, 2 rue Kellermann, 59100 Roubaix, France — envoi des e-mails ;
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande — uniquement si vous choisissez de vous connecter avec Google.

Pour afficher le cadastre, les fonds de carte, l'altimétrie, les documents d'urbanisme et les risques, votre navigateur ou notre serveur interrogent des services publics — Géoplateforme de l'IGN, Géoportail de l'urbanisme, Géorisques. Ces services reçoivent les coordonnées ou références de parcelle consultées et, pour les requêtes de votre navigateur, votre adresse IP ; ils ne reçoivent ni votre nom ni le contenu de vos dossiers.

Nous pouvons enfin communiquer des données aux autorités qui les requièrent dans les conditions prévues par la loi.

4. Transferts hors de l'Union européenne

Vercel et Neon sont des sociétés établies aux États-Unis. Même lorsque les données sont stockées dans l'Union européenne, un accès depuis les États-Unis ne peut être exclu. Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (Data Privacy Framework), pour les sociétés qui y sont certifiées, et par les clauses contractuelles types de la Commission européenne. Une copie de ces garanties peut être obtenue sur demande.

5. Sécurité

Les échanges sont chiffrés (HTTPS). Les mots de passe sont hachés. Les accès aux données sont limités aux personnes qui en ont besoin et journalisés pour le back-office. Les données de paiement restent chez Stripe, certifié PCI-DSS. Les sauvegardes sont chiffrées par l'hébergeur.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous la notifions à la CNIL dans les soixante-douze heures et, si le risque est élevé, nous vous en informons.

6. Cookies et stockage local

Le service n'utilise que des traceurs strictement nécessaires à son fonctionnement, exemptés de consentement (art. 82 de la loi Informatique et Libertés) :

• le cookie de session, qui vous garde connecté (trente jours au plus) ;
• les cookies de Stripe, déposés par le formulaire de paiement pour la sécurité des transactions et la prévention de la fraude ;
• le stockage local du navigateur, pour vos préférences d'affichage (thème, calques, tutoriel).

Aucun cookie publicitaire, aucun outil de mesure d'audience tiers, aucun réseau social n'est intégré. C'est pourquoi aucun bandeau de consentement ne vous est présenté.

7. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition sur vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès (art. 15 à 22 du RGPD, art. 85 de la loi Informatique et Libertés). Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment.

Pour les exercer, écrivez à contact@permika.com. Nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois en cas de demande complexe ; nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable.

Certaines données ne peuvent être effacées avant l'expiration des durées de conservation imposées par la loi (factures) ou nécessaires à la preuve de nos contrats (consentements), décrites ci-dessus.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

8. Les données des autres personnes

Un dossier contient souvent les données d'autres personnes que vous : le demandeur, s'il n'est pas vous, des voisins sur une photographie, un client. Vous ne devez y saisir que ce que le dossier exige, et informer ces personnes de l'usage qui en est fait.

Lorsqu'un professionnel saisit les données de ses clients, il en est responsable de traitement et l'Éditeur agit comme son sous-traitant, dans les conditions de l'article 16.2 des conditions générales.

9. Mineurs

Le service est réservé aux personnes majeures.

10. Modifications

Cette politique peut évoluer, notamment lors de l'ajout d'une fonctionnalité ou d'un prestataire. La version en vigueur est toujours accessible depuis le site et l'application, avec sa date ; toute modification substantielle vous est notifiée.