Politique de confidentialité

1. Responsable du traitement

NOTARIA PRIME — Siège social : 1 impasse de Ménez Bijigou, 29120 Pont-l’Abbé, France
Contact : contact@tevaxia.lu

2. Données collectées

Données de navigation :
Avec votre accord, PostHog mesure uniquement les visites de certaines pages publiques. Les paramètres d’URL, le contenu des formulaires, les pages privées et l’identité du compte sont exclus. Google Analytics est désactivé. Vous pouvez modifier votre choix via les réglages des cookies en pied de page. Mesure des pages publiques avec consentement ; identifiant aléatoire limité à la page, sans suivi entre les visites. Le prestataire reçoit les informations techniques nécessaires à la connexion réseau.

Compte utilisateur :
Adresse email, nom (optionnel), profession (optionnel), mot de passe hashé. Vous pouvez créer un compte par email/mot de passe ou via un service tiers (Google, LinkedIn).

Connexion OAuth (Google, LinkedIn) :
Pour la connexion au compte, Supabase reçoit les informations d’identité autorisées par le fournisseur, notamment l’identifiant, l’adresse email et le nom. Tevaxia ne reçoit pas le mot de passe du fournisseur. Les autorisations supplémentaires demandées pour un calendrier ou Google Drive sont distinctes et décrites ci-dessous.

Connexions optionnelles aux calendriers et à Google Drive :
À votre demande, une connexion Google Calendar ou Microsoft Outlook peut solliciter des droits de lecture et d’écriture d’événements, ainsi qu’un accès hors ligne. Les identifiants du compte externe, l’email, les autorisations, les jetons d’accès et de renouvellement et leurs dates d’expiration sont enregistrés dans Supabase pour cette connexion. L’autorisation ne signifie pas que toutes les fonctions de synchronisation sont disponibles. Une URL d’abonnement calendrier peut aussi transmettre les tâches et visites publiées au service de calendrier choisi : toute personne disposant de cette URL peut lire son contenu.

L’export vers Google Drive transmet le fichier choisi et son nom à Google après votre action. L’autorisation drive.file porte sur les fichiers créés ou ouverts avec l’application, pas sur l’ensemble de votre Drive. Les jetons du fournisseur nécessaires à cette action sont accessibles dans la session d’authentification. Le fichier exporté reste dans votre Drive jusqu’à sa suppression selon vos réglages Google.

Vous pouvez retirer les autorisations dans les paramètres de votre compte Google ou Microsoft. Pour faire supprimer les données de connexion conservées par Tevaxia, contactez contact@tevaxia.lu. Le retrait d’une autorisation ne supprime pas automatiquement les fichiers ou événements déjà transmis au fournisseur. Révoquez aussi les liens d’abonnement que vous ne souhaitez plus partager.

Données de simulation :
Les données saisies dans les calculateurs et simulateurs (montants, surfaces, paramètres énergétiques, lots locatifs, etc.) sont stockées dans le localStorage de votre navigateur, et — si vous êtes connecté — synchronisées sur Supabase pour vous permettre d'y accéder depuis n'importe quel appareil. Plafond 500 items par utilisateur gratuit (10 000 pour un plan Pro), rétention de 180 jours à partir de la dernière modification, purge automatique quotidienne au-delà.

Profil évaluateur :
Nom, société, coordonnées professionnelles — stockés dans le localStorage de votre navigateur ou dans Supabase si vous êtes connecté. Ces données servent à personnaliser les rapports d'évaluation.

Données métier professionnelles (B2B) :
Les utilisateurs professionnels (syndics, agences, hôteliers) saisissent dans les modules Syndic/CRM/PMS des données concernant des tiers : copropriétaires (nom, lot, IBAN, solde), clients hôteliers (nom, dates séjour, adresse, numéro carte tokenisée), contacts CRM (nom, email, téléphone, critères d'achat), mandats immobiliers. Pour ces données, tevaxia agit comme sous-traitant au sens RGPD art. 28 : l'utilisateur professionnel est responsable du traitement et doit disposer d'une base légale appropriée (exécution d'un contrat de syndic, d'un contrat d'hébergement, d'un mandat immobilier).

Données bancaires PSD2 (connexion Enable Banking) :
Si vous connectez une banque via Enable Banking, les opérations consultées servent au rapprochement demandé. Tevaxia enregistre les identifiants de session et de comptes ainsi que la date de validité renvoyée par le prestataire. Une validité de 180 jours est demandée, sous réserve des conditions de la banque ; une nouvelle authentification peut être requise. Ce délai ne constitue pas une durée universelle de consentement ou de conservation, et ne doit pas être confondu avec la profondeur de l’historique des opérations. La clé privée utilisée pour les requêtes Enable Banking reste sur le serveur.

OCR factures & documents — traitement local :
Les PDF et images uploadés dans le module OCR factures sont traités exclusivement dans votre navigateur (PDF.js pour l'extraction texte, Tesseract.js pour l'OCR des scans). Aucun fichier, aucune image, aucun texte extrait n'est envoyé à un service d'intelligence artificielle tiers (OpenAI, Anthropic, Google, Mistral) ni à nos serveurs. Seules les données structurées extraites (fournisseur, montant, IBAN, TVA…) que vous validez explicitement sont ensuite enregistrées dans Supabase.

Données de paiement (Stripe) :
Si vous souscrivez à un plan payant, le traitement du paiement (carte bancaire, SEPA) est entièrement géré par Stripe Payments Europe Limited (Irlande). tevaxia ne reçoit et ne stocke jamais votre numéro de carte complet : seul un identifiant de client Stripe, les 4 derniers chiffres de votre carte et sa date d'expiration sont conservés dans notre base pour vous permettre de gérer votre abonnement.

3. Finalités du traitement

• Fonctionnement du service (calculs, simulations, affichage des résultats)
• Sauvegarde des simulations et évaluations sur votre compte
• Personnalisation des rapports d'évaluation (profil évaluateur)
• Mesure des pages publiques avec consentement

4. Base légale du traitement

• Consentement (art. 6.1.a RGPD) : Mesure des pages publiques avec consentement
• Exécution du contrat (art. 6.1.b RGPD) : création et gestion de votre compte, sauvegarde de vos simulations et connexions optionnelles nécessaires aux fonctionnalités que vous demandez.
• Intérêt légitime (art. 6.1.f RGPD) : amélioration du service, sécurité de la plateforme.

Vous pouvez retirer votre consentement à tout moment pour les traitements fondés sur cette base.

5. Sous-traitants

6. Durée de conservation

• Données de compte : conservées jusqu'à la suppression du compte par l'utilisateur.
• Données de simulation (évaluations sauvegardées, lots locatifs) : 180 jours à compter de la dernière modification, plafond 500 items par compte gratuit (10 000 pour un plan Pro). Purge automatique quotidienne à 03:00 UTC des lignes dépassant ces seuils. Les données locales (localStorage) restent disponibles tant que l'utilisateur ne vide pas son navigateur.
• Liens publics de partage : 90 jours par défaut, durée paramétrable par l'utilisateur (1 à 365 jours) à la création, avec limite de vues optionnelle.
• Choix de mesure d’audience : l’accord comme le refus est conservé 180 jours dans le navigateur, avec la date et la version du choix, puis redemandé. Cette durée est un choix du service, pas une règle légale universelle. Les sessions d’authentification suivent leur expiration et renouvellement ; les sauvegardes locales restent jusqu’à leur suppression par l’utilisateur ou le navigateur.
• Données métier B2B (copropriétaires, clients hôteliers, contacts CRM) : conservées pendant la durée du contrat de service avec le professionnel utilisateur. Les obligations de conservation légales spécifiques LU s'appliquent (comptabilité et factures 10 ans art. L.16-2 Code de commerce, PV d'AG 10 ans, données AML/KYC 5 ans).
• Connexion bancaire : la date de validité est celle renvoyée par la banque ou le prestataire. Son expiration bloque l’accès, mais ne signifie pas que les métadonnées de connexion sont automatiquement effacées. Vous pouvez demander leur suppression à contact@tevaxia.lu. Les données incorporées dans vos documents de rapprochement relèvent de la conservation de ces documents.
• OCR factures : les PDF/images uploadés ne sont jamais stockés sur nos serveurs — traitement 100% navigateur. Seules les données structurées validées par l'utilisateur sont enregistrées.
• Calendriers : les informations et jetons de connexion restent enregistrés tant que l’intégration existe ; l’expiration d’un jeton ne supprime pas sa fiche. Leur suppression peut être demandée au contact ci-dessous. Les copies déjà présentes chez Google, Microsoft ou un autre calendrier, ainsi que les fichiers Drive exportés, restent soumis aux réglages de votre compte chez ce fournisseur.

7. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi luxembourgeoise du 1er août 2018, vous disposez des droits suivants :

• Droit d'accès à vos données personnelles
• Droit de rectification
• Droit à l'effacement (« droit à l'oubli »)
• Droit à la portabilité dans les conditions prévues par le RGPD. L’export JSON du profil couvre seulement les catégories indiquées dans son manifeste : il ne constitue pas une archive complète du compte et exclut notamment plusieurs modules métier, documents et journaux. Pour exercer votre droit sur des données non incluses, contactez-nous.
• Droit d'opposition au traitement
• Droit à la limitation du traitement, dans les conditions prévues par le RGPD

Pour exercer ces droits, contactez-nous à contact@tevaxia.lu.

8. Cookies

• Cookies techniques (nécessaires) : indispensables au fonctionnement du site (préférences de langue, session). Aucun consentement requis.
• Cookies analytiques (consentement) : Avec votre accord, PostHog mesure uniquement les visites de certaines pages publiques. Les paramètres d’URL, le contenu des formulaires, les pages privées et l’identité du compte sont exclus. Google Analytics est désactivé. Vous pouvez modifier votre choix via les réglages des cookies en pied de page. Mesure des pages publiques avec consentement ; identifiant aléatoire limité à la page, sans suivi entre les visites. Le prestataire reçoit les informations techniques nécessaires à la connexion réseau.
• Cookies d'authentification : gestion de la session Supabase (token de connexion). Nécessaires au fonctionnement du compte utilisateur.

9. Transferts de données hors Union européenne

Certains de nos sous-traitants sont situés aux États-Unis. Ces transferts sont encadrés par des clauses contractuelles types approuvées par la Commission européenne et/ou la décision d'adéquation EU-US Data Privacy Framework.

Les données de compte et de simulation sont hébergées par Supabase sur des serveurs situés dans l'Union européenne (AWS eu-central-1, Francfort, Allemagne).

10. Mesures de sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :

• Chiffrement des communications via HTTPS (TLS)
• Politique de sécurité du contenu (Content Security Policy — CSP)
• Row Level Security (RLS) sur Supabase : chaque utilisateur n'accède qu'à ses propres données
• Mots de passe hashés (jamais stockés en clair)
• Traitement local navigateur pour l'OCR de factures (PDF.js + Tesseract.js) : aucun envoi de document à un service d'IA externe
• Clés PSD2 stockées en variables d'environnement serveur, signature JWT RS256 pour chaque requête bancaire

11. Délégué à la protection des données / Contact

Pour toute question relative à la protection de vos données personnelles, vous pouvez nous contacter à contact@tevaxia.lu.

12. Droit de réclamation

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle luxembourgeoise :

Commission Nationale pour la Protection des Données (CNPD)
15 Boulevard du Jazz, L-4370 Belvaux, Luxembourg
cnpd.public.lu