Cette politique décrit comment Homisight collecte, utilise et protège vos données personnelles. Elle est conforme au Règlement Général sur la Protection des Données (RGPD - UE 2016/679) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.
1. Responsable du traitement
Le responsable du traitement est ND CONSEILS (SASU, SIRET 901 896 258 00018), dont le siège est situé au 10 rue de la Montagne Savart, 93220 Gagny, France. Les coordonnées complètes figurent dans les mentions légales.
Pour toute question relative à vos données : privacy@homisight.fr
2. Données collectées
Homisight collecte les données suivantes :
- Identité : email, nom, prénom, date de naissance, profession, situation familiale (saisies par vous)
- Coordonnées : téléphone, adresse fiscale
- Données patrimoniales : biens immobiliers, prêts, locataires, baux, banques, structures (SCI), assurances — saisies ou importées par vous
- Données financières : revenus locatifs, loyers, charges, mensualités, et les relevés bancaires que vous importez volontairement
- Données techniques : adresse IP (anonymisée), type de navigateur, pages consultées, logs d erreur (à des fins de sécurité et d amélioration)
- Données de facturation : moyens de paiement (gérés directement par Stripe, jamais stockés chez nous)
3. Finalités et bases légales
| Finalité | Base légale | Durée |
|---|---|---|
| Fourniture du Service | Exécution du contrat (CGU) | Durée du compte + 30 jours |
| Facturation et comptabilité | Obligation légale | 10 ans |
| Analyse IA documents bancaires | Consentement explicite (art. 6.1.a RGPD) | Pendant le traitement uniquement (pas de conservation) |
| Sécurité, logs, détection de fraude | Intérêt légitime | 12 mois |
| Communication marketing (newsletter) | Consentement (opt-in) | Jusqu à retrait du consentement |
| Statistiques anonymes d usage | Intérêt légitime | 13 mois |
4. Hébergement et localisation
Vos données sont hébergées au sein de l Union européenne (Francfort, Allemagne) chez Supabase (base de données et authentification). Les sauvegardes sont également stockées en UE.
Le site est servi via le CDN Vercel avec des nœuds européens. Les paiements transitent par Stripe Europe Ltd (Dublin, Irlande).
Aucun transfert hors UE n est effectué pour les données saisies par l utilisateur. Les seuls transferts ponctuels (vers les modèles d analyse IA) font l objet d une politique stricte décrite dans la page RGPD.
5. Sécurité
- Chiffrement TLS 1.3 pour tous les échanges
- Chiffrement au repos AES-256 (base PostgreSQL Supabase)
- Isolation par utilisateur via Row Level Security (RLS) — un utilisateur ne peut accéder qu à ses propres données
- Authentification Supabase avec mot de passe haché bcrypt + session signée
- Logs d accès admin tracés en base (audit log)
- Sauvegardes quotidiennes conservées 30 jours
6. Vos droits
Conformément au RGPD, vous disposez des droits suivants, exerçables gratuitement à tout moment :
- Droit d accès : obtenir copie de vos données
- Droit de rectification : corriger des données inexactes
- Droit à l effacement ("droit à l oubli") : demander la suppression de vos données
- Droit à la portabilité : récupérer vos données dans un format ouvert (export JSON disponible dans l app)
- Droit d opposition : vous opposer au traitement (notamment marketing)
- Droit à la limitation du traitement
- Droit de retirer votre consentement à tout moment (pour les traitements basés sur le consentement)
- Droit de définir des directives post-mortem sur le sort de vos données
Pour exercer ces droits, écrivez à dpo@homisight.fr. Nous répondrons sous 30 jours maximum.
En cas de difficulté, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
7. Sous-traitants
Pour fonctionner, Homisight s'appuie sur les sous-traitants suivants (tous engagés contractuellement à respecter le RGPD) :
| Sous-traitant | Rôle | Localisation | Encadrement |
|---|---|---|---|
| Supabase Inc. | Base de données PostgreSQL, authentification, stockage fichiers | UE — Francfort (DE) | DPA signé, chiffrement AES-256 au repos |
| Vercel Inc. | Hébergement applicatif, CDN edge | États-Unis + edge global | Data Privacy Framework EU-US + CCT |
| Stripe Payments Europe Ltd | Traitement des paiements, portail client (Customer Portal) | Irlande (UE) | DPA Stripe standard |
| Anthropic PBC | Analyses IA facultatives (OCR comptable, assistant conseil immobilier) | États-Unis | Data Privacy Framework EU-US + anonymisation partielle avant envoi (IBAN masqués, noms de tiers pseudonymisés) |
| Upstash Inc. | Cache Redis (synchronisation prestataires, rate limiting) | UE — Francfort (DE) | DPA Upstash standard |
La liste est tenue à jour. En cas d'ajout d'un nouveau sous-traitant susceptible de modifier la nature ou la localisation des traitements, les utilisateurs sont notifiés par email au moins 30 jours à l'avance.
8. Modifications
La présente politique peut évoluer. Toute modification substantielle vous sera notifiée par email et bannière dans l application au moins 30 jours avant son application.