Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

Prop-Up Invest SARL
47 rue Vivienne, 75002 Paris, France
RCS Paris 104 910 286
contact@prop-up.io

Le traitement est soumis au Règlement général sur la protection des données (UE) 2016/679 et à la loi française Informatique et Libertés. L'autorité de contrôle compétente est la CNIL.

2. Données traitées, finalités et durées

Chaque catégorie ci-dessous précise ce que nous traitons, pourquoi, à quel titre et pendant combien de temps. Nous ne traitons aucune donnée en dehors de ces finalités.

3. Suppression de votre compte

Vous pouvez supprimer votre compte vous-même et à tout moment, depuis Réglages › Sécurité › Supprimer mon compte. La suppression est immédiate : il n'y a ni délai de rétractation, ni corbeille. Un écran vous indique, avant confirmation, ce qui sera effacé et ce qui sera conservé dans votre cas précis.

Sont effacés immédiatement : votre compte et vos identifiants, votre profil, vos favoris et votre portefeuille, vos notifications et vos abonnements aux notifications push, vos données d'utilisation, vos demandes de rappel, et vos pièces d'identité si vous en aviez transmis.

Est conservée, uniquement si vous nous avez adressé une demande de mandat : cette demande, pendant cinq ans à compter de la fin de notre relation, pour le motif indiqué à l'article 2. Elle n'est alors plus rattachée à aucun compte.

Si vous n'avez plus accès à votre compte, la procédure est décrite sur la page suppression de compte, accessible sans connexion.

4. Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni transmises à des tiers à des fins commerciales ou publicitaires. Elles sont accessibles aux personnes habilitées de Prop-Up Invest et aux sous-traitants techniques strictement nécessaires au fonctionnement du service :

• Supabase — hébergement de la base de données, authentification et stockage des fichiers, dont les pièces d'identité.
• Vercel — hébergement de l'application et journaux techniques.
• Resend — envoi des courriels transactionnels (confirmation d'inscription, réinitialisation de mot de passe, alertes).
• Apple — acheminement des notifications sur iPhone, par le service APNs. Apple reçoit le jeton de votre appareil et le contenu de la notification, qui lui est lisible.
• Google — acheminement des notifications sur Android, par le service Firebase Cloud Messaging (FCM). Google reçoit le jeton de votre appareil et le contenu de la notification, qui lui est lisible.
• Le service de notification de votre navigateur — Google, Mozilla ou Apple selon le navigateur que vous utilisez, pour les notifications reçues sur le web. Ce service reçoit votre adresse d'abonnement, mais non le contenu de la notification : celui-ci est chiffré avec les clés générées par votre navigateur, que nous seuls et lui détenons.
• Calendly — prise de rendez-vous. Le module n'est chargé qu'au moment où vous ouvrez la prise de rendez-vous ; Calendly reçoit alors votre adresse IP, les caractéristiques de votre navigateur et les informations que vous saisissez pour réserver, et dépose ses propres cookies. Ce traitement relève de la politique de confidentialité de Calendly.

Ces prestataires agissent sur instruction, dans le cadre de contrats de sous-traitance.

5. Hébergement et transferts hors Union européenne

Vos données sont stockées et traitées en France. La base de données, l'authentification et les fichiers — dont les pièces d'identité — sont hébergés par Supabase dans la région eu-west-3 (Paris). Les fonctions serveur de l'application sont exécutées par Vercel dans la région cdg1 (Paris).

Deux sous-traitants traitent des données en dehors de l'Union européenne : Resend, pour l'envoi des courriels transactionnels, qui reçoit votre adresse électronique et votre nom ; et Calendly, pour la prise de rendez-vous, qui reçoit les informations décrites à l'article 4 lorsque vous ouvrez ce module. Tous deux sont établis aux États-Unis. Ces deux transferts sont encadrés par les clauses contractuelles types de la Commission européenne figurant aux contrats de sous-traitance conclus avec ces prestataires.

Les notifications push empruntent en outre le service de notification de votre plateforme — Apple sur iPhone, Google sur Android, et Google, Mozilla ou Apple sur le web selon votre navigateur. Ces services sont établis hors de l'Union européenne, et l'acheminement ne peut pas les contourner : il fait partie du système d'exploitation ou du navigateur. Ce transfert n'a lieu que si vous avez activé les notifications, et il cesse dès que vous les désactivez.

6. Cookies et mesure d'audience

Cookies nécessaires. La plateforme dépose les cookies indispensables à son fonctionnement : session d'authentification et mémorisation de vos préférences. Ils ne servent à aucune finalité publicitaire et ne requièrent pas votre consentement.

Mesure d'audience. Sur le site web, nous utilisons Google Analytics, uniquement après votre consentement explicite. Tant que vous n'avez pas accepté, aucun script Google n'est chargé et aucune requête n'est envoyée. Vous pouvez modifier ou retirer votre choix à tout moment.

Dans l'application mobile, Google Analytics n'est jamais chargé, quel que soit le consentement donné par ailleurs sur le site. L'application ne comporte aucun outil de mesure publicitaire et n'accède à aucun identifiant publicitaire.

Cookies tiers. L'ouverture du module de prise de rendez-vous entraîne le dépôt de cookies par Calendly (article 4).

7. Absence de suivi publicitaire et de décision automatisée

Nous ne pratiquons aucun suivi à des fins publicitaires : vos données ne sont pas croisées avec celles d'autres applications ou sites appartenant à d'autres entreprises, et ne sont transmises à aucun courtier en données.

Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé. Les indicateurs affichés sur les fiches de biens sont des simulations à titre indicatif ; ils ne constituent ni un conseil en investissement, ni une garantie de rendement.

8. Vos droits

Vous disposez des droits suivants sur vos données personnelles :

• Accès — obtenir une copie des données vous concernant.
• Rectification — corriger vos informations, directement depuis Réglages pour la plupart d'entre elles.
• Effacement — supprimer votre compte, dans les conditions de l'article 3.
• Limitation — demander le gel d'un traitement contesté.
• Opposition — vous opposer aux traitements fondés sur notre intérêt légitime, notamment les données d'utilisation.
• Portabilité — recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine.
• Retrait du consentement — à tout moment, pour les traitements qui en dépendent, sans effet sur la licéité des traitements antérieurs.

Pour exercer ces droits, écrivez à contact@prop-up.io. Nous répondons dans un délai d'un mois. Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL.

9. Sécurité

Les données sont chiffrées en transit (HTTPS/TLS) et au repos. L'accès aux données est cloisonné au niveau de la base elle-même : chaque utilisateur ne peut lire que ses propres données, et les pièces d'identité sont conservées dans un espace de stockage privé, accessible aux seules personnes habilitées et au moyen de liens temporaires.

10. Modifications

Toute modification substantielle de la présente politique vous sera signalée par courriel ou lors de votre prochaine connexion. La date de dernière mise à jour figure en tête de page.