Article 1 — Responsable du traitement
Le responsable du traitement est David COHEN, 41 rue de la Folie-Méricourt, 75011 Paris, France. Toute demande relative aux données personnelles peut être adressée à contact@diagluxe.fr.
Compte tenu de la nature et du volume des traitements réalisés, l'éditeur n'est pas tenu de désigner un délégué à la protection des données. Les demandes sont traitées directement par le responsable.
Article 2 — Données collectées
Via le simulateur de devis : votre nom, votre numéro de téléphone, la commune du bien et, facultativement, votre adresse électronique. S'y ajoutent les caractéristiques que vous décrivez : nature du projet, type de bien, tranche de surface, période de construction, présence de dépendances.
La preuve de votre accord, si vous cochez la case pour être recontacté : date et heure, état de la case, texte affiché à ce moment-là et liste des partenaires en vigueur.
Via un courriel que vous adressez : les données que vous choisissez d'y faire figurer.
Automatiquement : les données de connexion strictement nécessaires à la sécurité et à la mesure d'audience, décrites à l'article 9.
Aucune donnée sensible au sens de l'article 9 du règlement général sur la protection des données n'est collectée : ni origine, ni opinions, ni convictions, ni données de santé, ni données biométriques.
Article 3 — Finalités et bases légales
Afficher la liste de vos diagnostics : le calcul se fait dans votre navigateur, à partir de vos réponses ; vos coordonnées n'en sortent que si vous cochez la case d'accord et envoyez votre demande.
Transmettre votre demande à DiagLuxe et à ses diagnostiqueurs partenaires, et vous recontacter par téléphone ou par courrier électronique pour un devis de diagnostics immobiliers et des services liés à votre projet immobilier — base légale : votre consentement, donné en cochant la case prévue à cet effet (art. 6.1.a du RGPD). Sans case cochée, votre demande n'est transmise à personne.
Conserver la preuve de votre accord — base légale : l'obligation de pouvoir démontrer ce consentement (art. 7.1 du RGPD).
Assurer la sécurité du site et mesurer sa fréquentation — base légale : l'intérêt légitime du responsable à maintenir un service disponible et à comprendre l'usage de ses pages.
Aucune prospection sans lien avec votre demande n'est effectuée à partir des données collectées, et aucune donnée n'est utilisée à des fins publicitaires.
Article 4 — Durées de conservation
Les données du formulaire sont conservées trois ans à compter du dernier contact, durée usuelle en matière de prospection et de suivi de relation, puis supprimées.
La preuve de votre accord est conservée trois ans. L'accord lui-même vaut douze mois : passé ce délai, plus aucun partenaire ne peut vous recontacter sur cette base.
Les données de facturation éventuelles sont conservées dix ans au titre des obligations comptables.
Les journaux techniques nécessaires à la sécurité sont conservés six mois au plus.
Article 5 — Destinataires
Vos données sont communiquées aux diagnostiqueurs partenaires nommés sur la page Nos partenaires, uniquement si vous avez coché la case d'accord, et pour les seuls besoins de votre demande. Un partenaire ajouté à cette liste ne reçoit que les demandes arrivées après son ajout.
Elles ne sont transmises à aucun autre destinataire que ceux indiqués dans la présente politique : ni courtier en données, ni régie publicitaire.
Article 6 — Sous-traitants
Interviennent techniquement, en qualité de sous-traitants au sens de l'article 28 du RGPD :
— Cloudflare, Inc. — hébergement du site et mesure d'audience sans cookie ;
— l'outil d'automatisation n8n, exploité par l'éditeur sur un serveur de Hetzner Online GmbH situé en Finlande — réception des demandes ;
— la messagerie Gmail de Google — notification des demandes.
Chacun est lié par des engagements de confidentialité et de sécurité, et n'agit que sur instruction du responsable du traitement.
Le simulateur interroge aussi deux services publics de l'État : l'API Découpage administratif (geo.api.gouv.fr), qui reçoit le nom de la commune saisie pour en retrouver le code, et l'API Géorisques (georisques.gouv.fr), qui ne reçoit que ce code, pour savoir si l'état des risques est obligatoire. Aucune de vos coordonnées ne leur est transmise.
Article 7 — Transferts hors Union européenne
Cloudflare et Google sont des sociétés établies aux États-Unis. Les transferts vers ces prestataires sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) et, le cas échéant, par les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant par des mesures techniques supplémentaires. Le contenu du site est servi depuis des points de présence européens.
Article 8 — Sécurité
Le site est servi exclusivement en HTTPS. Les formulaires transmettent leurs données par une connexion chiffrée. L'accès aux demandes reçues est restreint aux personnes qui en ont besoin pour traiter votre dossier.
Aucune mesure ne garantissant une sécurité absolue, tout incident de sécurité affectant vos données et présentant un risque élevé pour vos droits vous serait notifié conformément à l'article 34 du RGPD.
Article 9 — Cookies et mesure d'audience
Ce site ne dépose aucun cookie publicitaire, aucun cookie de suivi comportemental, et ne recourt à aucune régie. Il ne partage aucune donnée à des fins de ciblage.
La fréquentation est mesurée par Cloudflare Web Analytics, qui ne dépose aucun cookie et n'attribue aucun identifiant persistant de visiteur. À ce titre, cette mesure relève des exemptions de consentement admises par la CNIL pour les mesures d'audience strictement nécessaires, et aucune bannière n'est requise.
Si un outil déposant des cookies venait à être ajouté, il fonctionnerait par défaut en mode consentement pour les visiteurs de l'Union européenne, du Royaume-Uni et de la Suisse — aucun dépôt avant acceptation — et la présente page serait mise à jour avant sa mise en service.
Article 10 — Vos droits
Vous disposez, dans les conditions prévues par le RGPD, des droits suivants :
— accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
— rectification : faire corriger une donnée inexacte ou incomplète ;
— effacement : obtenir la suppression de vos données, sauf obligation légale de conservation ;
— limitation : obtenir le gel temporaire d'un traitement contesté ;
— opposition : vous opposer à un traitement fondé sur l'intérêt légitime ;
— portabilité : recevoir vos données dans un format structuré et lisible par machine ;
— retrait de votre accord : retirer à tout moment l'accord donné pour être recontacté, par simple message à contact@diagluxe.fr ; le retrait vaut pour l'avenir ;
— directives post mortem : définir le sort de vos données après votre décès.
Article 11 — Exercice des droits et réclamation
Vos droits s'exercent par écrit à contact@diagluxe.fr. Une réponse vous est apportée dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe, auquel cas vous en êtes informé.
Une pièce d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur ; elle n'est alors pas conservée au-delà du traitement de la demande.
Vous pouvez à tout moment introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou depuis cnil.fr.
Article 12 — Mineurs
Le service s'adresse à des personnes majeures, propriétaires ou mandataires d'un bien immobilier. Aucune collecte n'est sciemment effectuée auprès de mineurs. Toute donnée concernant un mineur signalée comme telle est supprimée sans délai.
Article 13 — Origine des données
Toutes les données traitées sont fournies directement par la personne concernée, au moyen du formulaire de demande de devis ou d'un courrier électronique qu'elle adresse à l'éditeur. Aucune donnée n'est achetée, louée, collectée auprès d'un courtier en données, ni extraite d'un réseau social ou d'un annuaire. Aucune donnée n'est déduite par recoupement avec un fichier tiers.
Article 14 — Journaux de connexion
L'hébergeur enregistre, pour la sécurité et la disponibilité du service, des journaux techniques comprenant l'adresse IP, l'horodatage, la page demandée et le type de navigateur. Ce traitement repose sur l'intérêt légitime de l'éditeur à protéger le service contre les abus et les attaques (article 6.1.f du RGPD).
Ces journaux ne sont pas rapprochés des demandes de devis, ne servent à établir aucun profil, et ne sont consultés qu'en cas d'incident de sécurité.
Article 15 — Absence de décision automatisée
Le simulateur affiche la liste des diagnostics correspondant aux réponses saisies. Ce calcul est une aide à l'information : il ne produit aucun effet juridique, ne conditionne l'accès à aucun service, et ne constitue pas une décision automatisée au sens de l'article 22 du RGPD. Aucun profilage n'est réalisé.
La liste définitive des diagnostics obligatoires est arrêtée par le diagnostiqueur après examen du bien, et peut différer de celle affichée par le simulateur.
Article 16 — Prospection commerciale
Les coordonnées transmises servent à répondre à la demande formulée : DiagLuxe et ses diagnostiqueurs partenaires ne vous recontactent que si vous avez coché la case prévue à cet effet, pendant douze mois au plus, et pour l'objet qu'elle indique. Toute communication sans lien avec cette demande ne peut intervenir qu'avec un consentement distinct, recueilli séparément et révocable à tout moment par le même moyen.
Article 17 — Délégué à la protection des données
L'éditeur n'a pas désigné de délégué à la protection des données. Cette désignation n'est pas obligatoire en l'espèce : le traitement n'est pas le fait d'un organisme public, ne consiste pas en un suivi régulier et systématique de personnes à grande échelle, et ne porte pas à grande échelle sur des catégories particulières de données (article 37 du RGPD).
Les demandes relatives aux données personnelles sont traitées directement par l'éditeur, à l'adresse contact@diagluxe.fr.
Article 18 — Analyse d'impact
Aucune analyse d'impact relative à la protection des données n'est requise : le traitement ne figure pas sur la liste de ceux pour lesquels la CNIL l'impose, et ne comporte ni profilage, ni surveillance systématique, ni donnée sensible, ni croisement de fichiers. Cette appréciation est réexaminée à chaque évolution du site ou du formulaire.
Article 19 — Violation de données
En cas de violation de données à caractère personnel, l'éditeur la documente et, lorsqu'elle est susceptible d'engendrer un risque pour les droits et libertés des personnes, la notifie à la CNIL dans les 72 heures suivant sa découverte (article 33 du RGPD). Lorsque le risque est élevé, les personnes concernées en sont informées individuellement et sans délai injustifié (article 34 du RGPD).
Article 20 — Sauvegardes et suppression effective
Une demande d'effacement est exécutée sur les systèmes actifs sans délai. Les sauvegardes techniques, conservées pour la seule reprise après incident, sont écrasées par rotation : les données effacées n'y sont plus restaurées et disparaissent au terme du cycle de rotation.
Cette limite technique est portée à la connaissance de la personne qui exerce son droit à l'effacement, afin qu'elle sache exactement ce qui a été supprimé et à quel moment la suppression devient définitive.
Article 21 — Registre des activités de traitement
L'éditeur tient un registre des activités de traitement conforme à l'article 30 du RGPD, décrivant les finalités poursuivies, les catégories de données et de personnes concernées, les destinataires et les durées de conservation. Ce registre est communiqué à la CNIL sur demande.
Article 22 — Modification de la présente politique
La présente politique peut être modifiée pour tenir compte d'une évolution du service ou de la réglementation. La date de dernière modification figure en bas de page. Les modifications substantielles sont signalées sur la page d'accueil pendant trente jours.