Politique de confidentialité
En vigueur au 27 mai 2026 · Conforme au RGPD (Règlement UE 2016/679) et à la loi Informatique et Libertés
1. Responsable de traitement
Le responsable du traitement des données collectées via Fidelimo est :
Fidelimo, [forme juridique, adresse, RCS à compléter]
Contact RGPD : dpo@fidelimo.fr
Pour les données clients de l'utilisateur saisies dans le service, le mandataire / négociateur utilisateur est responsable de traitement et Fidelimo agit comme sous-traitant au sens du RGPD.
2. Données collectées
Données de compte utilisateur
- Email, mot de passe (haché bcrypt)
- Nom complet, téléphone, agence, secteur
- Photo de profil et logo d'agence (optionnels)
- Signature email, préférences (notifications, thème, ton par défaut)
- Logs de connexion (IP, user-agent, horodatage) pour la sécurité
Données clients saisies par l'utilisateur
- Identité (prénom, nom, type, raison sociale)
- Coordonnées (email, téléphone)
- Informations transactions (adresse, type de bien, date, prix)
- Notes et messages générés / envoyés (SMS, email, WhatsApp)
- Photos avec consentement explicite (typiquement remise de clés)
Cookies et données techniques
fidelimo_session: cookie de session (JWT, httpOnly), durée 30 jours, strictement nécessaire à l'authentification.fidelimo_theme: cookie de préférence d'affichage (clair / sombre), durée 1 an.
Pas de cookies tiers, pas d'analytics, pas de publicité, pas de tracking marketing.
3. Finalités et bases légales
| Finalité | Base légale | Durée |
|---|---|---|
| Fourniture du service (compte, données métier) | Exécution du contrat (CGU) | Durée du compte + 3 ans |
| Sécurité (logs, anti-brute-force, sessions) | Intérêt légitime | 30 jours (purge automatique) |
| Photos de clients identifiables | Consentement explicite | Tant que l'utilisateur ne supprime pas |
| Emails transactionnels (vérification, alertes sécurité) | Exécution du contrat | N/A |
| Récapitulatif quotidien email | Consentement (opt-out depuis Mon compte) | Tant qu'activé |
4. Destinataires et sous-traitants
Les données sont accessibles uniquement à l'utilisateur dans son espace personnel. Les sous-traitants techniques suivants interviennent dans le traitement :
- Vercel Inc. (États-Unis) : hébergement de l'application web. Transfert encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne.
- Neon Inc. (États-Unis) : hébergement de la base de données managée. Idem, CCT en place.
- Microsoft Azure OpenAI (Union européenne / États-Unis) : génération de messages assistée par IA. Les données envoyées (prénoms, contexte de relance) ne sont pas utilisées pour entraîner les modèles d'OpenAI.
- Brevo SAS (France) : envoi des emails transactionnels et notifications.
- cron-job.org (Allemagne) : déclencheur HTTP externe pour les tâches planifiées. Ne reçoit aucune donnée personnelle.
5. Vos droits (RGPD)
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès à vos données (article 15)
- Droit de rectification depuis votre espace compte (article 16)
- Droit à l'effacement via la fonction « Supprimer mon compte » (article 17). Délai de grâce 7 jours puis suppression effective et irréversible.
- Droit à la portabilité : un export JSON complet de toutes vos données est téléchargeable depuis Mon compte > Données & compte (article 20)
- Droit d'opposition au traitement et de limitation
- Droit de définir des directives sur le sort de vos données après votre décès
Pour exercer ces droits : dpo@fidelimo.fr
En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes
6. Photos de clients (cas particulier)
L'application permet de stocker une photo de remise de clés ou équivalent. Une photo identifiable est une donnée personnelle au sens de l'article 4 du RGPD.
Base légale retenue : le consentement explicite du client photographié (article 6.1.a). Le mandataire utilisateur est responsable de l'obtention de ce consentement. Le service enregistre la date du consentement et permet à tout moment la suppression de la photo (droit à l'effacement).
Les photos sont stockées de manière privée (URL signée HMAC à durée limitée lorsqu'elles sont incluses dans un email).
7. Sécurité
Mesures techniques en place :
- HTTPS forcé sur l'ensemble des échanges
- Mots de passe hachés (bcrypt, coût 10)
- Cookies de session httpOnly, SameSite=Lax, Secure en production
- Protection anti-brute-force (5 essais / 15 min, déblocage automatique)
- Vérification d'email par lien à usage unique
- Tracking des sessions actives avec révocation à distance
- Base de données chiffrée au repos et sauvegardes quotidiennes via le fournisseur d'hébergement
8. Modifications
La présente politique peut être amenée à évoluer. Toute modification substantielle fera l'objet d'une information dans l'application ou par email avant son entrée en vigueur.
9. Contact
Pour toute question relative à cette politique ou au traitement de vos données :
Voir aussi les CGU et les mentions légales.