Politique de confidentialité (RGPD)

1. Responsable du traitement

Entrepreneur individuel Nagalingum Frédéric
Mahalo Patrimoine
2 allée des pivoines, 78200 MAGNANVILLE, France
SIRET : 491 416 012 00038
Email : contact@mahalopatrimoine.fr

L'éditeur n'a pas désigné de délégué à la protection des données (DPO). Toute demande relative à vos données peut être adressée à l'adresse email ci-dessus.

2. Données collectées

Selon les fonctionnalités utilisées, nous collectons tout ou partie des catégories de données suivantes :

• Données de compte et d'identification : nom, prénom, adresse email, numéro de téléphone, mot de passe (stocké sous forme hachée par notre prestataire d'authentification).
• Données relatives à votre situation locative (fournies volontairement) : situation professionnelle, revenus déclarés, composition du foyer, ville et budget de recherche, statut administratif.
• Documents téléversés : pièces justificatives (identité, avis d'imposition, bulletins de salaire, quittances, bail, etc.) que vous choisissez d'importer pour bénéficier des outils de scoring ou de génération de dossier.
• Conversations avec l'assistant Fred : messages échangés, contexte, éventuelles pièces jointes.
• Données de connexion et techniques : adresse IP, identifiants d'appareil, logs, type de navigateur, pages consultées, horodatages.
• Données de transaction : historique des commandes et packs achetés. Les données bancaires sont saisies et traitées directement par Stripe ; nous n'y avons pas accès et n'en conservons pas.

Conformément à la loi ALUR et à la réglementation applicable, certains documents sensibles (RIB, carte Vitale, etc.) ne sont ni demandés ni acceptés par nos outils.

3. Finalités et bases légales

4. Destinataires et sous-traitants

Les données ne sont accessibles qu'à l'éditeur et aux sous-traitants techniques ci-dessous, chacun agissant sur instructions documentées de l'éditeur :

• Supabase — base de données, authentification, stockage de fichiers, fonctions serverless.
• Lovable — plateforme d'hébergement et de publication du site.
• Stripe — traitement des paiements par carte.
• Resend — envoi des emails transactionnels et notifications.
• Google (Gemini) et fournisseurs de modèles IA via Lovable AI Gateway — traitement des requêtes envoyées à l'assistant et aux outils d'analyse. Les prompts peuvent contenir des données que vous fournissez volontairement.
• Google Analytics — mesure d'audience, uniquement après consentement via la bannière cookies.

Nous ne vendons ni ne louons vos données personnelles à des tiers.

5. Transferts hors Union européenne

Certains sous-traitants (Stripe, Supabase, Google, Resend) peuvent traiter des données en dehors de l'Espace économique européen, notamment aux États-Unis. Ces transferts sont encadrés par :

• les clauses contractuelles types de la Commission européenne ;
• le cadre EU-US Data Privacy Framework, lorsque le prestataire y est certifié.

6. Durées de conservation

• Compte utilisateur et documents associés : conservés tant que le compte est actif. Vous pouvez demander la suppression à tout moment (voir §8).
• Conversations avec l'assistant Fred : conservées de manière à assurer la continuité de l'accompagnement, jusqu'à demande de suppression.
• Données de facturation : 10 ans (obligation comptable et fiscale).
• Logs techniques et de connexion : jusqu'à 12 mois.
• Cookies : 13 mois maximum (recommandation CNIL).
• Prospects et emails marketing : 3 ans à compter du dernier contact.

7. Sécurité

L'éditeur met en œuvre des mesures techniques et organisationnelles pour protéger les données personnelles, notamment :

• chiffrement des communications via HTTPS/TLS ;
• authentification et mots de passe stockés sous forme hachée par le prestataire d'authentification ;
• règles de sécurité au niveau base de données (Row Level Security) restreignant l'accès aux données de chaque utilisateur ;
• séparation des rôles et accès limité aux personnes autorisées ;
• journalisation des accès sensibles.

Aucun système n'étant infaillible, l'éditeur ne peut garantir une sécurité absolue, mais s'engage à notifier tout incident de sécurité conformément aux articles 33 et 34 du RGPD.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Accès : obtenir une copie de vos données.
• Rectification : faire corriger des données inexactes.
• Effacement : demander la suppression de vos données.
• Limitation : demander la suspension d'un traitement.
• Portabilité : recevoir vos données dans un format structuré.
• Opposition : vous opposer à un traitement fondé sur l'intérêt légitime.
• Retrait du consentement : à tout moment, pour les traitements fondés sur le consentement.
• Directives post-mortem : définir le sort de vos données après votre décès.

Pour exercer ces droits, écrivez à contact@mahalopatrimoine.fr en précisant votre demande. Une pièce d'identité pourra être demandée en cas de doute raisonnable sur votre identité. Nous répondons dans un délai maximum d'un mois.

Vous pouvez également introduire une réclamation auprès de la CNIL :
Commission Nationale de l'Informatique et des Libertés
3 Place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07
www.cnil.fr

9. Cookies

Le site utilise deux catégories de cookies :

• Cookies strictement nécessaires : authentification, sécurité, préservation de la session. Ils ne requièrent pas votre consentement.
• Cookies de mesure d'audience (Google Analytics) : déposés uniquement si vous les acceptez via la bannière de consentement affichée à votre première visite.

Vous pouvez à tout moment modifier vos préférences depuis la bannière ou dans les paramètres de votre navigateur.

10. Décisions automatisées et IA

Certains outils (scoring, diagnostic, assistant Fred) reposent sur des traitements algorithmiques et sur des modèles d'intelligence artificielle. Ils fournissent une aide indicative, sans produire d'effet juridique automatique à votre égard : la décision finale (candidature, recours, démarche administrative) reste toujours la vôtre. Vous pouvez à tout moment demander une intervention humaine en écrivant à contact@mahalopatrimoine.fr.

11. Mineurs

Le service n'est pas destiné aux mineurs de moins de 15 ans. Aucune collecte volontaire n'est effectuée auprès d'eux ; toute donnée signalée comme provenant d'un mineur sera supprimée.

12. Modifications

La présente politique peut être mise à jour pour tenir compte d'évolutions techniques, légales ou fonctionnelles. La date de dernière mise à jour figure en haut de page. En cas de changement substantiel, une information spécifique sera portée à votre connaissance.