Politique de confidentialité

1. Introduction et objet

La présente politique de confidentialité décrit la manière dont les données personnelles sont collectées, utilisées, conservées et protégées dans le cadre de l'utilisation de Kialacle, le registre des clés connecté pour agences immobilières.

Kialacle permet à une agence immobilière de tracer la détention de ses clés : qui détient quelle clé, pour quel bien et depuis quand, grâce à des porte-clés équipés d'une puce NFC (identifiant opaque) et à une application web. Le service gère notamment les relances automatiques par SMS et email, la signature à l'écran de décharges pour les intervenants externes, l'historique horodaté des mouvements et le fonctionnement multi-agences.

Nous attachons une grande importance à la protection de votre vie privée et nous nous engageons à traiter vos données personnelles conformément au Règlement (UE) 2016/679 (ci-après le « RGPD ») et à la loi française « Informatique et Libertés » modifiée.

En utilisant Kialacle, vous êtes invité à prendre connaissance de la présente politique. Elle peut être amenée à évoluer : la version applicable est celle publiée à l'adresse du service à la date de votre consultation.

2. Qui est responsable du traitement de vos données

L'éditeur de Kialacle est THE FORM COMPANY, société par actions simplifiée (SAS) au capital de 15 000 euros, immatriculée au RCS de Nice sous le numéro 982 219 438, dont le siège social est situé 21 Avenue Thiers, 06000 Nice, France. Numéro de TVA intracommunautaire : FR6982219438.

Ci-après désignée « The Form Company », « nous » ou « l'éditeur ».

Contact pour toute question relative à la protection des données et pour l'exercice de vos droits : bonjour@kialacle.fr [À CONFIRMER : adresse de contact dédiée].

À ce jour, The Form Company n'a pas désigné de délégué à la protection des données (DPO). Vos demandes peuvent être adressées au contact ci-dessus.

3. Point essentiel : responsable de traitement ou sous-traitant

Le RGPD distingue deux rôles, et The Form Company peut occuper l'un ou l'autre selon les données concernées. Cette distinction détermine qui décide de l'usage des données et à qui vous adressez vos demandes.

The Form Company agit comme responsable de traitement

pour les données qu'elle collecte et utilise pour son propre compte, c'est-à-dire :

• la gestion du compte de l'agence cliente et de la relation contractuelle (abonnement, facturation, support) ;
• le fonctionnement, la sécurité et l'amélioration du service ;
• la gestion du site et des demandes de contact ou de prospection commerciale, dans les limites prévues par la loi.

Pour ces traitements, c'est The Form Company qui détermine les finalités et les moyens, et c'est à nous que vous adressez l'exercice de vos droits.

The Form Company agit comme sous-traitant

pour les données que l'agence cliente gère elle-même au moyen de Kialacle, c'est-à-dire principalement :

• les données de ses collaborateurs (utilisateurs de l'agence) ;
• les données des intervenants externes qui prennent une clé (artisans, diagnostiqueurs, notaires, etc.) ;
• le journal des mouvements de clés rattachés aux biens gérés par l'agence.

Pour ces données, l'agence cliente est le responsable de traitement : c'est elle qui décide pourquoi et comment ces données sont utilisées. The Form Company les traite uniquement pour fournir le service, sur instruction de l'agence, sans les utiliser à d'autres fins. Cette relation est encadrée par un accord de traitement des données (DPA, « Data Processing Agreement ») conclu entre The Form Company et l'agence cliente, conformément à l'article 28 du RGPD.

En pratique : si vous êtes un collaborateur d'une agence ou un intervenant externe et que vous souhaitez exercer vos droits sur vos données, votre interlocuteur est en premier lieu l'agence qui utilise Kialacle. Nous assistons l'agence pour répondre à ces demandes.

4. Quelles données nous traitons et pourquoi

Les traitements ci-dessous précisent, pour chaque catégorie de données, les finalités (pourquoi) et la base légale (le fondement juridique au sens de l'article 6 du RGPD).

4.1 Comptes des utilisateurs de l'agence

Données : nom, prénom, adresse email, numéro de téléphone, rôle au sein de l'agence, identifiant de connexion, et le cas échéant les informations transmises lors d'une connexion via Google ou Microsoft (SSO).

Finalités : création et gestion des comptes, authentification, attribution des droits selon le rôle, communication liée au service.

Base légale : exécution du contrat conclu avec l'agence cliente, et intérêt légitime de l'éditeur à sécuriser l'accès. Pour les données des collaborateurs, The Form Company intervient comme sous-traitant de l'agence (voir section 3).

4.2 Intervenants externes qui prennent une clé

Données : nom, numéro de téléphone, éventuellement adresse email, et signature électronique apposée à l'écran lors de la décharge de responsabilité.

Finalités : identifier la personne qui détient une clé, générer et conserver la décharge signée, permettre les relances pour le retour de la clé, disposer d'une preuve en cas de litige.

Base légale : intérêt légitime du responsable de traitement (l'agence cliente) à tracer la détention de ses clés et à sécuriser la remise, ainsi qu'exécution de la relation entre l'agence et l'intervenant. The Form Company agit ici comme sous-traitant de l'agence.

4.3 Journal des mouvements de clés

Données : identifiant opaque de la clé, bien concerné (référence interne de l'agence, jamais inscrite dans la puce), identité du détenteur, date et heure de chaque mouvement. Ce journal est horodaté, non modifiable et exportable.

Finalités : assurer la traçabilité des clés, reconstituer l'historique en cas de litige ou de perte, fournir une preuve fiable.

Base légale : intérêt légitime du responsable de traitement à disposer d'un registre fiable et non altérable. The Form Company agit comme sous-traitant de l'agence. Le caractère non modifiable du journal répond à un objectif de fiabilité probatoire ; il est néanmoins soumis aux durées de conservation définies à la section 6.

4.4 Envoi de SMS et d'emails

Données : numéro de téléphone, adresse email, contenu et statut des messages envoyés (rappels, relances, reçus, alertes).

Finalités : notifier les utilisateurs et les intervenants, relancer pour le retour des clés, transmettre des reçus et des alertes liées au service.

Base légale : exécution du service et intérêt légitime à assurer le suivi des clés. Ces messages sont des communications liées au fonctionnement du service (messages de gestion), et non de la prospection commerciale.

4.5 Données techniques et de connexion

Données : adresse IP, journaux de connexion, données de navigation, cookies et, le cas échéant, données de mesure d'audience.

Finalités : fournir et sécuriser le service, prévenir la fraude et les abus, diagnostiquer les incidents, mesurer et améliorer l'usage de l'application.

Base légale : intérêt légitime de l'éditeur pour la sécurité et le bon fonctionnement ; consentement pour les cookies et traceurs non strictement nécessaires (voir section 10).

5. Les destinataires de vos données et nos sous-traitants

Vos données sont accessibles aux personnes habilitées au sein de l'agence cliente (selon leur rôle) et aux équipes de The Form Company strictement habilitées, pour les besoins du service et du support.

Nous ne vendons pas vos données personnelles. Nous ne les transmettons à des tiers que lorsque cela est nécessaire au fonctionnement du service, à des prestataires techniques (sous-traitants au sens du RGPD) agissant sur nos instructions et tenus par des engagements contractuels de confidentialité et de sécurité.

Nos principaux sous-traitants techniques sont :

• Hébergement : Amazon Web Services (AWS), au sein de l'Union européenne (région [À CONFIRMER : Luxembourg ou Paris]).
• Envoi de SMS : [À COMPLÉTER : nom du prestataire d'envoi de SMS].
• Envoi d'emails : [À COMPLÉTER : nom du prestataire d'emailing].
• Connexion SSO : Google (Google Ireland Limited) et Microsoft (Microsoft Ireland Operations Limited), lorsque vous choisissez de vous connecter via ces services.
• Mesure d'audience : [À COMPLÉTER : nom du prestataire de mesure d'audience, le cas échéant].

[À COMPLÉTER : ajouter tout autre sous-traitant (paiement, support, supervision) le cas échéant.]

Nous pouvons également être amenés à communiquer des données lorsque la loi l'exige (demande d'une autorité, obligation légale ou réglementaire).

6. Durées de conservation

Nous conservons vos données uniquement pendant la durée nécessaire aux finalités décrites, puis nous les supprimons ou les anonymisons. Les durées indiquées ci-dessous sont des durées de référence, à ajuster selon les obligations légales applicables.

Au terme de ces durées, certaines données peuvent être conservées sous forme archivée et à accès restreint, pour la seule durée nécessaire au respect de nos obligations légales ou à la constatation, l'exercice ou la défense de droits en justice.

En qualité de sous-traitant, à la fin du contrat avec une agence cliente, nous supprimons ou restituons les données concernées selon les instructions de l'agence et les termes du DPA, sous réserve des obligations légales de conservation.

7. Transferts de données hors de l'Union européenne

Les données sont hébergées au sein de l'Union européenne (voir section 5).

Certains prestataires (par exemple les services SSO de Google ou Microsoft, ou certains outils de mesure d'audience) peuvent, selon leur configuration, impliquer un transfert de données en dehors de l'Union européenne. Lorsqu'un tel transfert a lieu, nous veillons à ce qu'il soit encadré par des garanties appropriées au sens des articles 44 et suivants du RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne, ou toute autre garantie reconnue (décision d'adéquation, etc.).

[À CONFIRMER : lister les transferts hors UE réellement effectués, le ou les pays de destination et la garantie applicable pour chaque prestataire concerné.]

8. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre la perte, l'accès non autorisé, la divulgation ou l'altération, notamment :

• le chiffrement des données en transit ;
• un identifiant opaque dans la puce NFC : la puce ne contient jamais l'adresse du bien ni d'information permettant de l'identifier directement ;
• une gestion des accès par rôle, limitant les données visibles selon le profil de l'utilisateur ;
• un journal des mouvements non modifiable, garantissant la fiabilité de l'historique ;
• des accès restreints aux seules personnes habilitées, tenues à la confidentialité.

[À COMPLÉTER : préciser le cas échéant les autres mesures (chiffrement au repos, sauvegardes, double authentification, cloisonnement des données entre agences, journalisation des accès).]

Malgré tout le soin apporté, aucune transmission ou conservation de données n'est totalement exempte de risque. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, nous appliquons les procédures de notification prévues par le RGPD.

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• droit d'accès : obtenir la confirmation que vos données sont traitées et en obtenir une copie ;
• droit de rectification : faire corriger des données inexactes ou incomplètes ;
• droit à l'effacement : demander la suppression de vos données dans les cas prévus par la loi ;
• droit à la limitation : demander la suspension temporaire de certains traitements ;
• droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime, pour des raisons tenant à votre situation particulière ;
• droit à la portabilité : recevoir, dans un format structuré, les données que vous nous avez fournies, lorsque ce droit s'applique.

Vous pouvez également retirer votre consentement à tout moment lorsqu'un traitement repose sur celui-ci, sans que cela remette en cause la licéité des traitements effectués avant ce retrait.

Comment exercer vos droits : adressez votre demande à bonjour@kialacle.fr [À CONFIRMER]. Si vos données sont traitées par The Form Company en tant que sous-traitant d'une agence (vos données de collaborateur ou d'intervenant externe), nous vous invitons à vous adresser d'abord à l'agence concernée, responsable de ces traitements ; nous l'assistons pour y répondre.

Nous pouvons être amenés à vérifier votre identité avant de donner suite. Nous nous efforçons de répondre dans un délai d'un mois, prolongeable dans les conditions prévues par le RGPD.

Réclamation : si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.

10. Cookies et traceurs

Kialacle utilise des cookies et traceurs pour assurer son fonctionnement et, le cas échéant, mesurer son audience.

• Cookies strictement nécessaires : indispensables au fonctionnement du service (authentification, sécurité, mémorisation de session). Ils ne requièrent pas votre consentement.
• Cookies de mesure d'audience et autres traceurs non essentiels : déposés uniquement avec votre consentement, recueilli via un bandeau ou un gestionnaire de consentement lors de votre première visite. [À COMPLÉTER : préciser si une mesure d'audience est effectivement utilisée et son prestataire.]

Vous pouvez à tout moment modifier vos choix via le gestionnaire de consentement [À COMPLÉTER : préciser le moyen] ou les paramètres de votre navigateur. La durée de vie des cookies est limitée conformément aux recommandations de la CNIL (voir section 6).

11. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique de confidentialité pour tenir compte d'évolutions légales, techniques ou de notre service. La date de dernière mise à jour figure en tête de document. En cas de modification substantielle, nous vous en informerons par un moyen approprié.

12. Contact

Pour toute question relative à la présente politique ou au traitement de vos données personnelles :

THE FORM COMPANY, 21 Avenue Thiers, 06000 Nice, France, bonjour@kialacle.fr [À CONFIRMER].