Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est À COMPLÉTER (forme juridique, capital, siège social, numéro RCS, numéro de TVA intracommunautaire), exploitant la marque AHORIAL.

Pour toute question relative à vos données, vous pouvez écrire à À COMPLÉTER (adresse électronique de contact dédiée).

Aucun délégué à la protection des données n'a été désigné à ce jour, la désignation n'étant pas obligatoire au regard de l'activité et du volume de données traitées. Ce point sera réexaminé si l'activité évolue.

2. Données que nous traitons

Nous distinguons trois situations, qui n'impliquent pas les mêmes données.

• Utilisation du simulateur sans compte : seules les caractéristiques techniques du projet sont enregistrées — type de logement, département, zone climatique, surfaces, performances des équipements, catégorie de ménage déclarée, nombre de logements. Aucun nom, aucune adresse, aucune coordonnée. Ces enregistrements ne sont rattachés à aucune personne identifiée.
• Demande d'être contacté : votre adresse électronique, votre numéro de téléphone si vous le renseignez, et le récapitulatif de la simulation concernée.
• Compte professionnel : votre adresse électronique, votre nom si renseigné, votre rôle, ainsi que la raison sociale et le numéro SIREN de votre organisation. Les simulations que vous réalisez connecté sont rattachées à votre compte.

3. Ce que nous ne collectons pas

Le simulateur vous permet de saisir votre revenu fiscal de référence et la composition de votre foyer afin de déterminer votre catégorie de ressources. Ces deux informations ne quittent jamais votre navigateur : elles ne sont ni transmises ni enregistrées. Seule la catégorie qui en résulte est conservée.

Nous ne collectons ni adresse postale, ni date de naissance, ni pièce d'identité, ni donnée bancaire. Nous ne traitons aucune donnée relevant des catégories particulières mentionnées à l'article 9 du RGPD.

Nous n'achetons ni ne recevons de fichiers de prospection auprès de tiers.

4. Finalités et bases légales

Chaque traitement repose sur une base légale identifiée.

• Fournir le simulateur et calculer une estimation : intérêt légitime à fournir le service demandé. Les données enregistrées ne permettent pas de vous identifier.
• Répondre à une demande d'être contacté : mesures précontractuelles prises à votre demande, au sens de l'article 6.1.b du RGPD.
• Gérer les comptes professionnels et l'historique des simulations : exécution du contrat conclu avec votre organisation.
• Améliorer la plateforme et suivre son usage : intérêt légitime, sur la base de données agrégées ou non identifiantes.
• Respecter nos obligations légales, notamment comptables : obligation légale.

5. Qui accède à vos données

Au sein d'une organisation cliente, l'accès est cloisonné : un membre ne voit que ses propres simulations, un responsable voit celles de son organisation et peut les réattribuer à un collègue. Ce cloisonnement est appliqué par la base de données elle-même, et non seulement par l'interface.

Le personnel habilité d'AHORIAL peut accéder aux comptes, aux simulations et aux dossiers des clients, y compris à leur contenu détaillé, aux fins d'assurer le support et d'instruire les dossiers. Nous vous le signalons explicitement : c'est une conséquence directe de la nature du service.

Les données figurant dans un dossier de demande de certificats sont traitées par AHORIAL en qualité de mandataire de l'obligé demandeur. Elles sont transmises à cet obligé, qui en est le destinataire, ainsi qu'aux organismes de contrôle mandatés dans le cadre du dispositif.

Nous ne vendons ni ne louons vos données. Nous ne les transmettons à des tiers que dans les cas prévus ci-dessous.

6. Sous-traitants et hébergement

La plateforme s'appuie sur trois prestataires techniques, qui agissent comme sous-traitants au sens du RGPD.

• Base de données, authentification et stockage : Supabase, avec une infrastructure localisée en Irlande, au sein de l'Union européenne.
• Hébergement et diffusion de l'application : Vercel.
• Envoi des messages électroniques : Resend. À COMPLÉTER — confirmer la localisation des traitements de ce prestataire et l'existence d'un accord de sous-traitance conforme à l'article 28 du RGPD ; si des données sont traitées hors de l'Union européenne, préciser ici les garanties applicables (clauses contractuelles types ou décision d'adéquation).

7. Durées de conservation

Les durées ci-dessous sont celles que nous appliquons.

• Simulations réalisées sans compte : vingt-quatre mois à compter de leur création. Elles ne sont rattachées à aucune personne identifiée.
• Demandes d'être contacté restées sans suite : trois ans à compter du dernier échange, conformément aux recommandations de la CNIL en matière de prospection.
• Comptes professionnels et simulations rattachées : pendant toute la durée de la relation contractuelle, puis trois ans à compter de sa fin.
• Dossiers de demande de certificats et pièces justificatives associées : dix ans à compter de la clôture du dossier. Cette durée couvre les contrôles susceptibles d'intervenir après l'achèvement des travaux ainsi que les délais de prescription applicables.
• Autres documents relevant d'obligations comptables ou probatoires : pendant la durée légale applicable à chaque catégorie. À COMPLÉTER — les durées des trois premières lignes restent à confirmer avec un conseil juridique.

8. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition, et d'un droit à la portabilité des données que vous nous avez fournies.

Pour les exercer, écrivez à À COMPLÉTER. Nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois en cas de demande complexe. Nous pouvons vous demander un justificatif d'identité si un doute raisonnable existe sur l'identité du demandeur.

La suppression d'un compte entraîne celle des données personnelles associées. Les simulations rattachées sont conservées, détachées de leur auteur, afin que l'organisation ne perde pas son historique de travail.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

9. Cookies et traceurs

La plateforme ne dépose aucun cookie publicitaire, aucun cookie de mesure d'audience et aucun traceur tiers. Aucun bandeau de consentement n'est donc nécessaire.

Les seuls cookies déposés sont ceux qui maintiennent votre session lorsque vous êtes connecté à un compte. Ils sont strictement nécessaires au fonctionnement du service et disparaissent à la déconnexion.

10. Sécurité

Les échanges avec la plateforme sont chiffrés en transit. Les mots de passe ne sont jamais stockés en clair : leur gestion est assurée par le service d'authentification de Supabase.

L'accès aux données est contrôlé au niveau de la base de données elle-même, par des règles qui s'appliquent quelle que soit la voie d'accès. Une erreur d'interface ne peut donc pas ouvrir l'accès aux données d'une autre organisation.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous en informons la CNIL dans les soixante-douze heures et, si le risque est élevé, les personnes concernées.

11. Modification de cette politique

Cette politique peut être modifiée pour tenir compte d'évolutions du service ou de la réglementation. La date de dernière mise à jour figure en tête du document. En cas de modification substantielle, les titulaires d'un compte en sont informés.