Politique de confidentialité

La présente politique décrit la manière dont EB Hub, entreprise individuelle exploitée par Eric Buhler, dont le siège est situé 50 rue des Petits Champs, 68120 Pfastatt, France (le « Responsable de traitement »), collecte et traite les données à caractère personnel des visiteurs du site patryx.fr et des utilisateurs du service PATRYX, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.

1. Responsable de traitement et contact

• Responsable : EB Hub (Eric Buhler), 50 rue des Petits Champs, 68120 Pfastatt, France, SIRET 788 904 993 00037
• Contact protection des données : formulaire de contact
• Délégué à la protection des données (DPO) : aucun DPO n'est désigné, la désignation n'étant pas obligatoire au regard de l'article 37 du RGPD compte tenu de la nature et du volume des traitements réalisés. Toute demande relative à vos données personnelles est traitée directement par le Responsable de traitement via le formulaire de contact.

2. Le site patryx.fr

2.1 Simulateurs gratuits

Les simulateurs du site (rendement locatif, fiscalité LMNP / SCI IS, PTZ) s'exécutent entièrement dans le navigateur du visiteur. Les valeurs saisies (revenus, prix, loyers) ne sont ni transmises à un serveur, ni enregistrées par le Responsable de traitement.

2.2 Formulaire de contact

Le formulaire de contact collecte le nom, l'adresse électronique et le contenu du message. Ces données sont acheminées par le prestataire Web3Forms (voir article 4) et conservées un (1) an à compter du dernier échange, sauf litige en cours.

2.3 Cookies et mesure d'audience du site

Le site patryx.fr ne dépose aucun cookie publicitaire ni traceur de reciblage. Trois dispositifs seulement sont utilisés, décrits en détail sur la page Cookies et traceurs :

• Un stockage local strictement nécessaire (patryx.consent.v1), qui mémorise votre choix en matière de traceurs pendant six mois. Il est exempté de consentement au titre de l'article 82 de la loi Informatique et Libertés.
• Google Analytics 4, mesure d'audience soumise à consentement. Les cookies _ga et _ga_*, d'une durée de treize mois, ne sont déposés qu'après votre accord exprès. Aucun script Google n'est chargé tant que cet accord n'a pas été donné.
• Vercel Web Analytics et Speed Insights, qui mesurent le volume de pages vues et les temps de chargement sans déposer de cookie ni utiliser d'identifiant persistant. Exemptés de consentement, ils sont actifs pour tous les visiteurs.

2.4 Bandeau de consentement et base légale

À votre première visite, un bandeau vous est présenté en bas de page, sans recouvrir le contenu ni empêcher la navigation. Il propose trois actions de même niveau visuel : Tout accepter, Tout refuser et Personnaliser. Refuser demande exactement le même nombre de clics qu'accepter, conformément à la recommandation de la CNIL du 17 septembre 2020.

L'option « Personnaliser » ouvre le détail par catégorie, avec pour chacune sa finalité et sa durée de conservation. Tant qu'aucun choix n'a été exprimé, le mode de consentement de Google (Consent Mode v2) maintient l'ensemble des états de stockage à « refusé ».

La base légale du dépôt des traceurs de mesure d'audience est votre consentement, au sens de l'article 6.1.a du RGPD et de l'article 82 de la loi Informatique et Libertés. Ce consentement est libre, spécifique, éclairé et univoque. Il est révocable à tout moment, aussi simplement qu'il a été donné, par le lien « Gérer mes cookies » présent en permanence dans le pied de page. Votre choix est conservé six mois au maximum, après quoi il vous est redemandé. Le refus n'a aucune conséquence sur l'accès au site ni aux simulateurs.

3. Données collectées par le service app.patryx.fr

3.1 Données d'identification et de compte

• adresse électronique, mot de passe (stocké sous forme de condensat, jamais en clair) ;
• prénom, nom, nom complet, photo de profil (facultative) ;
• identifiant technique du compte, date de création, date de dernière connexion ;
• en cas de connexion via Google : identifiant du compte Google, adresse électronique, prénom, nom, photo ;
• statut de vérification de l'adresse électronique et horodatage de l'acceptation des CGU.

3.2 Données de projet et données patrimoniales

• caractéristiques des biens analysés : localisation, type, surface, DPE, année de construction, étage ;
• données financières du projet : prix, frais, budget travaux, charges, loyers attendus, taux d'occupation ;
• données de financement : montant emprunté, taux, durée, apport, taux d'assurance emprunteur ;
• données patrimoniales du foyer : revenu mensuel du foyer, tranche marginale d'imposition, revenus professionnels annuels, mensualité maximale acceptable, régime fiscal et structure juridique retenus ;
• documents et photos téléversés par l'utilisateur, notes libres.

3.3 Données de facturation

• formule souscrite, statut d'abonnement, historique des paiements, identifiant client Stripe ;
• aucune donnée de carte bancaire n'est collectée ni conservée par l'Éditeur : elle est traitée exclusivement par Stripe.

3.4 Données techniques

• journaux d'authentification et d'erreur, adresse IP, horodatage, agent utilisateur ;
• compteurs d'usage nécessaires à la limitation de débit des fonctionnalités d'IA ;
• préférences d'affichage, stockées localement dans le navigateur.

4. Destinataires et sous-traitants

Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Elles sont accessibles au personnel habilité de l'Éditeur, dans la limite de ce qui est nécessaire, et aux sous-traitants suivants, encadrés par des accords conformes à l'article 28 du RGPD :

Les données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige.

5. Transferts hors Union européenne

L'hébergement de la base de données et l'exécution de l'application ont lieu dans l'Union européenne. Certains prestataires sont établis hors de l'Union européenne (notamment Web3Forms, OpenAI, L.L.C. et Resend, Inc., aux États-Unis), et la mesure d'audience opérée par Google Ireland Limited peut donner lieu à des transferts vers les États-Unis : ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, complétées, le cas échéant, par des mesures supplémentaires (chiffrement en transit, minimisation des données transmises).

6. Durées de conservation

7. Cookies et traceurs

• Strictement nécessaires (déposés sans consentement, art. 82 de la loi Informatique et Libertés) : cookies de session et jetons d'authentification, sécurité, préférence de thème, et mémorisation du choix exprimé sur le bandeau de consentement du site.
• Mesure d'audience soumise à consentement : le site patryx.fr utilise Google Analytics 4, dont les cookies ne sont déposés qu'après accord exprès du visiteur. L'application app.patryx.fr ne dépose à ce jour aucun traceur de mesure d'audience.
• Mesure exemptée : Vercel Web Analytics et Speed Insights, sans cookie ni identifiant persistant.
• Aucun cookie publicitaire n'est déposé, ni sur le site ni dans l'application, et les signaux publicitaires du mode de consentement Google restent refusés en permanence.

Le détail par traceur, avec finalité, durée, éditeur et moyen de revenir sur votre choix, figure sur la page Cookies et traceurs.

8. Sécurité

• chiffrement des communications en transit (TLS) et chiffrement des données au repos par l'hébergeur ;
• cloisonnement des données par utilisateur au niveau de la base de données au moyen de politiques de sécurité au niveau des lignes (Row Level Security), empêchant tout accès croisé ;
• exigences de robustesse des mots de passe et stockage sous forme de condensat salé ;
• accès aux fichiers déposés par URL signées à durée limitée ;
• limitation de débit des points d'accès sensibles et journalisation des accès ;
• habilitations restreintes au strict nécessaire pour le personnel de l'Éditeur.

En cas de violation de données susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, l'Éditeur en informe la CNIL dans les 72 heures et les personnes concernées dans les meilleurs délais.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès : obtenir la confirmation que des données vous concernant sont traitées et en obtenir copie ;
• Rectification : corriger des données inexactes, directement depuis la page Paramètres de l'application ;
• Effacement : supprimer votre compte et vos données depuis la page Paramètres ;
• Portabilité : récupérer vos données dans un format structuré et lisible par machine, via la fonction « Exporter mes données » disponible dans les paramètres du compte ;
• Limitation et opposition au traitement fondé sur l'intérêt légitime ;
• Retrait du consentement à tout moment, pour les traitements qui en dépendent ;
• Directives post mortem relatives au sort de vos données.

Ces droits s'exercent depuis l'interface du service ou via le formulaire de contact. Une réponse est apportée dans un délai d'un mois, prorogeable de deux mois en cas de complexité. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Vous disposez du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

10. Décision automatisée

Les scores et résultats produits par le service résultent d'un calcul automatisé fondé sur les données que vous saisissez. Ils constituent une aide à la décision destinée à votre seul usage et ne produisent aucun effet juridique à votre égard au sens de l'article 22 du RGPD : aucune décision vous concernant n'est prise par l'Éditeur sur ce fondement.

11. Mineurs

Le site et le service ne sont pas destinés aux personnes de moins de 18 ans et aucune collecte de données les concernant n'est effectuée sciemment.

12. Modification de la politique

La présente politique peut être mise à jour. Toute modification substantielle est portée à la connaissance des utilisateurs par voie électronique ou par affichage sur le site avant son entrée en vigueur.