Politique de confidentialité
Dernière mise à jour : 25 octobre 2026
1. Responsable de traitement
Le responsable de traitement est l'Éditeur du Service :
- Dénomination : Aposys Corp. (EURL, RCS Paris 928 430 792)
- Siège social : 50 avenue des Champs-Élysées, 75008 Paris
- Contact (exercice des droits) : contact [at] verif-dpe.fr
- Délégué à la protection des données (DPO) (le cas échéant) : non désigné
2. Données collectées
| Catégorie | Données | Origine |
|---|---|---|
| Compte | adresse e-mail, mot de passe (haché), nom/prénom ou raison sociale | fournies par l'Utilisateur |
| Agence professionnelle | nom de l’agence, administrateur, e-mail des membres invités, rôle, statut et expiration de l’invitation, places et abonnement | administrateur / membre / prestataire de paiement |
| Préférences commerciales | choix facultatif, texte et version présentés, date et origine du choix, retrait éventuel | préférences e-mail du compte et choix historiques |
| Paiement | identité de facturation, historique d'achats ; aucune donnée bancaire complète (carte traitée par le prestataire de paiement) | Utilisateur / prestataire de paiement |
| Données de simulation | numéro de DPE, adresse du bien étudié, paramètres et hypothèses de travaux saisis, résultats | saisies par l'Utilisateur + base publique ADEME |
| Données techniques | adresse IP, journaux de connexion et d'usage, type de navigateur | collectées automatiquement |
| Cookies / traceurs | voir Article 8 | navigateur de l'Utilisateur |
Le DPE de référence est récupéré depuis la base de données publique de l'ADEME à partir d'un numéro ou d'une adresse. Ces données sont des données publiques ; elles peuvent toutefois se rapporter à un bien et faire l'objet d'un traitement à ce titre.
3. Finalités et bases légales
| Finalité | Base légale (RGPD) |
|---|---|
| Création et gestion du Compte, fourniture du Service | exécution du contrat (art. 6.1.b) |
| Traitement des paiements et facturation | exécution du contrat / obligation légale (art. 6.1.b et 6.1.c) |
| Réalisation et conservation des simulations | exécution du contrat (art. 6.1.b) |
| Sécurité, prévention de la fraude et des abus, journalisation | intérêt légitime (art. 6.1.f) |
| Support et relation client | exécution du contrat / intérêt légitime |
| Amélioration du Service, statistiques (données agrégées) | intérêt légitime (art. 6.1.f) |
| Prospection / communication commerciale (le cas échéant) | consentement (art. 6.1.a) |
| Obligations comptables et légales | obligation légale (art. 6.1.c) |
L’inscription ne recueille aucun consentement commercial. La création du compte et la vérification de votre adresse e-mail ne valent pas accord pour recevoir des offres. Les messages nécessaires au fonctionnement du compte et aux commandes sont distincts des communications commerciales. Vous pouvez consulter et modifier votre choix facultatif dans Mon compte → Mes préférences e-mail, sans modifier vos accès. Les choix successifs sont conservés comme preuve.
4. Destinataires et sous-traitants
Les données sont accessibles aux personnes habilitées de l'Éditeur et à ses sous-traitants techniques, agissant sur instruction et encadrés par un contrat conforme à l'article 28 du RGPD :
- Prestataire de paiement : Stripe Payments Europe, Ltd (traitement des transactions par carte ; aucune donnée bancaire complète n'est accessible à l'Éditeur) ;
- Hébergeur : Hostinger International Ltd (hébergement des données ; localisation du serveur à confirmer pour le volet « transferts hors UE ») ;
- Fournisseur de la donnée DPE : ADEME, via son API publique (le Service interroge la base ADEME ; aucune donnée personnelle de l'Utilisateur ne lui est transmise au-delà de la requête) ;
- Mesure d'audience Vérif DPE : PostHog (projet hébergé en Union européenne), uniquement après votre consentement, pour des événements de navigation et d’utilisation explicitement sélectionnés. Cette mesure ne comporte pas d’enregistrement de session, de contenu des formulaires, d’adresse du logement ou de numéro DPE. Les URL sont ramenées à une catégorie de page, sans identifiant ni paramètres ;
- Mesure publicitaire : les scripts Meta/Facebook et Google Ads sont actuellement suspendus sur Vérif DPE ;
- Acheminement des e-mails : Google (Google Workspace), pour l'envoi des e-mails transactionnels (confirmation d'achat, réinitialisation de mot de passe).
Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales.
L’administrateur d’une agence abonnée peut consulter les adresses e-mail, rôles et statuts des membres de son agence, créer une invitation et retirer un accès. Cette gestion relève de l’exécution du contrat pour les membres ; les invitations professionnelles relèvent de l’intérêt légitime de l’agence à organiser ses accès. Le lien d’invitation expire après sept jours et ne fonctionne que pour le compte vérifié correspondant. Il n’est pas envoyé automatiquement par le Service. L’abonnement ne partage ni les scénarios privés des comptes, ni les données du CRM Noël Diagnostics. Le retrait d’un membre coupe les droits de l’agence sans effacer son compte personnel, ses scénarios ou ses achats individuels. Les données d’agence suivent les durées de conservation des comptes et contrats ci-dessous. Les actions mesurées avec consentement ne contiennent aucun e-mail, nom d’agence, lien ou jeton d’invitation, ni contenu saisi dans les formulaires.
5. Transferts hors Union européenne
Le prestataire de paiement Stripe peut traiter certaines données en dehors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par des garanties appropriées : clauses contractuelles types de la Commission européenne et, le cas échéant, certification au titre de l'EU-U.S. Data Privacy Framework.
6. Durées de conservation
- Compte et données associées : pendant la durée de la relation contractuelle, puis supprimées ou anonymisées dans un délai de douze (12) mois après la clôture du compte ;
- Simulations : conservées pendant la durée de vie du compte (suppression possible à tout moment par l'Utilisateur) ;
- Données de facturation / comptables : 10 ans (obligation légale) ;
- Journaux techniques : douze (12) mois ;
- Données de prospection : trois (3) ans à compter du dernier contact.
7. Droits des personnes
Conformément au RGPD, l'Utilisateur dispose des droits d'accès, de rectification, d'effacement, d'opposition, de limitation, de portabilité et du droit de définir des directives post-mortem. Lorsqu'un traitement repose sur le consentement, celui-ci peut être retiré à tout moment.
Ces droits s'exercent à : contact [at] verif-dpe.fr, accompagnés le cas échéant d'un justificatif d'identité. L'Éditeur répond dans un délai d'un mois.
L'Utilisateur peut introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).
8. Cookies et traceurs
Le Service utilise principalement des cookies strictement nécessaires à son fonctionnement :
- cookies strictement nécessaires au fonctionnement (session, authentification, sécurité) — exemptés de consentement ;
- mesure d’audience PostHog : un identifiant aléatoire, sans rattachement au compte, est conservé dans le stockage local du navigateur pendant au maximum 180 jours, uniquement après votre consentement. Les événements sélectionnés servent à comprendre le parcours de recherche et d’utilisation. Aucun événement de cette mesure n’est envoyé avant acceptation ou en cas de refus. Le retrait arrête les envois et supprime cet identifiant local. Vous pouvez modifier votre choix via le bouton « Cookies » en bas de page. Les scripts publicitaires Meta et Google Ads restent suspendus.
L'Utilisateur peut paramétrer ses préférences via la bannière de gestion des cookies et/ou les réglages de son navigateur.
La mesure consentie couvre les catégories de pages consultées, les actions sélectionnées (recherche, inscription, outils, paiement), les explications ouvertes, la profondeur de défilement, le temps actif visible et les catégories d'erreurs. Les durées de chargement sont arrondies ; l'appareil et le navigateur sont regroupés en grandes catégories. La provenance est catégorisée sans conserver l'URL de départ ni les paramètres libres. Un identifiant de session aléatoire regroupe le parcours et est renouvelé après 30 minutes sans événement. Le retrait du consentement supprime également cet identifiant local. Aucun texte saisi, message d'erreur, contenu de document, numéro DPE ou identifiant de compte n'est transmis par cette mesure. Les statistiques de commandes conservées sur notre serveur sont distinctes de cette mesure de navigation.
9. Sécurité
L'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données (chiffrement des mots de passe, accès restreint, hébergement sécurisé, sauvegardes). Aucun système n'étant infaillible, l'Éditeur ne peut garantir une sécurité absolue.
10. Modification de la présente politique
La présente politique peut être modifiée pour suivre les évolutions légales ou du Service. La version applicable est celle publiée sur le Service à la date de consultation.