Politique de confidentialité
Dernière mise à jour : 29 mars 2026
1. Responsable du traitement
Le responsable du traitement des données est Anass El Ghallab (AEG), éditeur du site jacheteoupas.fr.
Contact DPO : contact@jacheteoupas.fr
2. Données collectées et finalités
| Donnée | Finalité | Base légale | Durée |
|---|---|---|---|
| Adresse saisie | Géocodage + analyse DVF | Intérêt légitime | Non stockée côté serveur |
| Surface, prix, DPE | Calcul du diagnostic | Intérêt légitime | Non stockés côté serveur |
| Historique d'analyses | Confort utilisateur | Consentement | localStorage (navigateur) |
| Données de navigation | Mesure d'audience | Consentement | Vercel Analytics (anonyme) |
| Adresse IP | Rate limiting (sécurité) | Intérêt légitime | 1 minute (mémoire serveur) |
3. Sous-traitants et transferts de données
- Vercel (USA) - Hébergement frontend, analytics anonymes. EU-US Data Privacy Framework (DPF) + Clauses Contractuelles Types (SCC).
- Railway (USA) - Hébergement backend. Pas de stockage de données personnelles.
- API Adresse BAN (France) - Géocodage des adresses. Opéré par la DINUM.
- Google Maps Platform (USA) - Enrichissement du diagnostic (Solar, Air Quality, Places, Street View). EU-US Data Privacy Framework (DPF) + Clauses Contractuelles Types (SCC).
- Anthropic (USA) - Génération de l'explication textuelle. Les prompts ne contiennent pas de données personnelles identifiantes. L'API est configurée en opt-out : les données transmises ne sont pas utilisées pour l'entraînement des modèles (politique Anthropic).
Aucune donnée personnelle n'est vendue ou cédée à des tiers à des fins commerciales.
4. Cookies et stockage local
| Nom | Type | Finalité | Durée |
|---|---|---|---|
| jop_form | localStorage | Restaurer le formulaire | Permanent |
| jop_history | localStorage | Historique des analyses | Permanent (10 max) |
| theme | localStorage | Préférence clair/sombre | Permanent |
Aucun cookie tiers de traçage publicitaire n'est déposé. Vercel Analytics fonctionne sans cookies.
5. Vos droits (RGPD)
Conformément au RGPD (articles 15 à 22) et à la loi Informatique et Libertés, vous disposez des droits suivants :
- Droit d'accès - Obtenir une copie de vos données personnelles
- Droit de rectification - Corriger des données inexactes
- Droit à l'effacement - Demander la suppression de vos données
- Droit à la portabilité - Recevoir vos données dans un format structuré
- Droit d'opposition - Vous opposer au traitement de vos données
- Droit de retrait du consentement - Retirer votre consentement à tout moment
Pour exercer ces droits, envoyez un email à contact@jacheteoupas.fr. Nous répondons sous 30 jours.
Vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés).
6. Politique de rétention
Le backend de jacheteoupas.fr fonctionne en mode stateless : aucune donnée de diagnostic n'est stockée côté serveur. Le flux d'analyse utilise le protocole SSE (Server-Sent Events) pour transmettre les résultats en temps réel au navigateur, puis la connexion est fermée. Aucune base de données utilisateur, aucun fichier temporaire et aucun log applicatif ne conservent les paramètres saisis (adresse, surface, prix).
| Donnée | Durée de conservation |
|---|---|
| Paramètres d'analyse (adresse, surface, prix…) | Non stockés — transmission SSE uniquement |
| Résultats du diagnostic | Non stockés côté serveur — conservés dans le navigateur (localStorage) à la discrétion de l'utilisateur |
| Adresse IP (rate limiting) | 1 minute (mémoire vive, non persistée) |
| PDFs générés | Transmis immédiatement — non conservés sur le serveur |
| Prompts envoyés à Anthropic | Non stockés côté serveur — opt-out activé chez Anthropic |
7. Sécurité des données
- Communications chiffrées (HTTPS/TLS)
- Rate limiting : chaque adresse IP est limitée à 15 requêtes d'analyse par minute. Ce compteur est stocké en mémoire vive uniquement (non persisté sur disque) et réinitialisé après 60 secondes d'inactivité. Seul le hash de l'IP est utilisé ; aucun journal nominatif n'est conservé.
- Clé API requise pour les routes sensibles en production
- Validation des entrées (Pydantic) avant tout traitement
- En-têtes de sécurité : CSP avec nonces, HSTS, X-Frame-Options, Referrer-Policy
- Aucun stockage de données personnelles côté serveur (stateless)