Politique de confidentialité (RGPD)

Version v1.0 — En vigueur à compter du 1er juin 2026

1. Responsable de traitement

Le responsable de traitement est la société PROTECT-PLAN (cf. Mentions légales), représentée par Monsieur Sébastien TEISSIER, agissant en qualité de représentant légal de SALPT-INVEST, gérante.

Contact dédié RGPD : dpo@protect-plan.fr

2. Finalités du traitement

• Analyse automatique du plan transmis et production d'un rapport de sanity-check vis-à-vis de la norme NF X 08-070 ;
• Envoi du rapport par e-mail à l'adresse renseignée par l'Utilisateur ;
• Détection automatique de non-conformités critiques : en cas de détection, l'équipe commerciale PROTECT est notifiée afin de proposer un audit formel à l'Utilisateur ;
• Anti-spam et détection d'abus : via condensat (hash) de l'adresse e-mail et de l'adresse IP, sans stockage en clair de ces dernières ;
• Newsletter (optionnelle, soumise à consentement explicite distinct).

3. Base légale

Le traitement repose sur le consentement explicite de l'Utilisateur (article 6.1.a du RGPD), recueilli au moment de la soumission du formulaire via les cases à cocher « CGU » et « Politique de confidentialité » (obligatoires) et « Newsletter » (optionnelle).

4. Données collectées

Les données collectées au moment de la soumission sont :

• Identité : nom, prénom, société, adresse, e-mail, téléphone (optionnel) ;
• Plan transmis : fichier PDF/PNG/JPG (jusqu'à 25 Mo), accompagné de ses métadonnées (catégorie de bâtiment, format, échelle, type d'ERP, etc.) ;
• Données techniques : condensat SHA-256 de l'adresse IP et du User-Agent, horodatages, identifiant de soumission (UUID).

L'e-mail est stocké sous deux formes en base : un hash SHA-256 (pour l'anti-spam) et une forme chiffrée (AES-256-GCM, pour les besoins de relance commerciale et d'exercice des droits RGPD).

5. Durée de conservation

Les plans soumis et le rapport associé sont conservés pour une durée maximale de 30 jours à compter de la soumission, puis automatiquement détruits par un traitement de purge programmé.

Les données d'identité (e-mail chiffré, société, contact) sont conservées dans la base pour une durée maximale de 3 ans à des fins de relation commerciale, sauf opposition explicite de l'Utilisateur (cf. droits RGPD).

Le journal d'audit (logs RGPD) est conservé 5 ans conformément aux obligations de l'article 30 du RGPD (registre des activités de traitement).

6. Sécurité

• Chiffrement at-rest : base Postgres et Storage Supabase chiffrés AES-256 par défaut. E-mail chiffré applicativement avant insertion.
• Chiffrement in-transit : TLS 1.2+ obligatoire entre le navigateur de l'Utilisateur, l'application Vercel, le microservice d'analyse et Supabase.
• Cloisonnement RLS forcé : aucune politique d'accès n'autorise l'accès direct à la base depuis le navigateur. Seul le rôle de service (clé révocable) accède aux données, exclusivement côté serveur.
• Anti-spam : Cloudflare Turnstile (sans cookie, ni profilage publicitaire).

7. Sous-traitants et destinataires

Les données sont accessibles aux personnes habilitées de PROTECT-PLAN (équipe technique et commerciale) et à un nombre restreint de sous-traitants techniques :

• Vercel Inc. (USA) — hébergement de l'interface web. Sous Data Processing Agreement, application des Clauses Contractuelles Types (CCT UE).
• Supabase, Inc. (USA, infrastructure régionale UE) — base de données et stockage de fichiers, hébergés en région eu-west-3 (Paris). Sous DPA et CCT UE.
• Anthropic, PBC (USA) — analyse IA (modèle Claude). Sous DPA et accord Zero Data Retention (en cours d'activation — Phase A0 de développement uniquement). Aucune donnée client n'est utilisée pour l'entraînement des modèles.
• Brevo (Sendinblue, France) — transport e-mail transactionnel et newsletter. Hébergement UE.

Aucun transfert hors UE n'est effectué sans encadrement contractuel approprié (CCT UE 2021/914 ou décision d'adéquation de la Commission européenne).

8. Vos droits

Vous disposez des droits suivants sur vos données :

• Droit d'accès (article 15 RGPD) — obtenir une copie des données détenues ;
• Droit de rectification (article 16) — corriger une donnée inexacte ;
• Droit à l'effacement (article 17, « droit à l'oubli ») — demander la suppression anticipée des données ;
• Droit à la limitation du traitement (article 18) ;
• Droit à la portabilité (article 20) — récupération au format structuré ;
• Droit d'opposition (article 21) ;
• Droit de retirer son consentement à tout moment, sans porter atteinte à la licéité des traitements antérieurs.

Pour exercer l'un de ces droits, écrivez à dpo@protect-plan.fr. Une réponse vous sera adressée dans un délai d'un mois.

En cas de désaccord sur le traitement, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr/fr/plaintes.

9. Cookies

Cf. Politique cookies. Le Service n'utilise pas de cookies de traçage publicitaire ni d'outils d'analyse comportementale.