Politique de confidentialité

Le responsable de traitement est RHODHISS, EURL au capital de 1 000 €, immatriculée au RCS de Bayonne sous le numéro 948 930 763, dont le siège social est situé 80 rue de Salon, 64200 Biarritz, France — société exploitant le service CombienMaMaison.fr (voir les mentions légales).

Contact : contact@combienmamaison.fr

• Identité et contact : adresse email, et pour les professionnels le nom d’agence et un numéro de téléphone facultatif.
• Données du bien : adresse, coordonnées géographiques, parcelles cadastrales sélectionnées, surface, type de bien, caractéristiques déclarées par l’utilisateur et motif déclaré de la demande (vente, succession, donation, IFI, divorce, prêt relais).
• Données de paiement : traitées et conservées exclusivement par Stripe ; CombienMaMaison.fr ne voit ni ne stocke aucun numéro de carte bancaire.
• Données de compte : historique des rapports générés, solde de crédits, statut d’abonnement.
• Données techniques : adresse IP (limitation de débit, sécurité), journaux techniques de fonctionnement, pages consultées et événements d’usage strictement nécessaires à la mesure d’audience, auxquels est jointe une localisation approximative (ville, région, pays) déterminée par notre hébergeur à la réception de la requête : seul ce résultat est conservé, jamais l’adresse IP dont il est issu, et les coordonnées sont arrondies à environ un kilomètre. Pour un utilisateur connecté, seul l’identifiant technique du compte est associé à ces événements ; l’adresse email n’est pas transmise à l’outil de mesure. Trois de ces événements de parcours (affichage du paiement, retour de paiement, rapport affiché) portent en outre le motif déclaré de votre demande, sous la forme de l’un des six choix proposés et jamais d’un texte libre : il nous sert à savoir quels usages du rapport sont réellement demandés. Aucune autre donnée du bien — ni l’adresse, ni la valeur estimée — n’est transmise à l’outil de mesure.
• Origine de la visite : lorsque le lien par lequel vous arrivez porte les paramètres utm_source, utm_medium ou utm_campaign, ces trois valeurs — et elles seules — sont lues une fois à l’ouverture de la page et jointes aux événements du parcours, afin de savoir quels supports font connaître le service. Elles ne sont conservées nulle part dans votre navigateur et disparaissent à la fermeture de l’onglet. Aucun identifiant de clic publicitaire (gclid, fbclid, msclkid, ttclid et équivalents) n’est lu ni transmis : ce sont eux qui permettraient un rapprochement avec un profil publicitaire, et le service n’en fait aucun usage.
• Retours d’expérience (avis) : un retour facultatif (« trop haut / juste / trop bas ») sur un rapport, associé à votre compte ou à un identifiant anonyme si vous n’êtes pas connecté.
• Listes d’attente : adresse email, département et adresse éventuellement recherchée, ou demande facultative de version certifiée rattachée à votre rapport.
• Passeport du bien et Mon Suivi : avec votre accord, parcelles et références bâtiment, versions des faits officiels, déclarations, corrections, documents privés, rapports liés et signalements de changements significatifs. L’adresse reste un repère d’affichage et n’est jamais utilisée seule comme identifiant permanent.

• Exécution du contrat : générer votre estimation, gérer votre compte, traiter votre paiement, produire votre rapport et son PDF.
• Intérêt légitime : sécurité du service, prévention de la fraude, mesure d’audience limitée à l’amélioration du parcours et de l’offre, amélioration mensuelle et strictement encadrée de la grille de valorisation à partir des retours agrégés (jamais de décision automatique individuelle : toute évolution de la grille reste soumise à validation humaine).
• Obligation légale : conservation des données de facturation pour nos obligations comptables et fiscales.

Vos données sont partagées, dans la stricte mesure nécessaire, avec :

• Vercel Inc. (États-Unis) — hébergement de l’application et, depuis le 27 août 2026, mesure d’audience complémentaire (Vercel Web Analytics) : le chemin normalisé des pages publiques consultées — sans paramètres de requête ni identifiant de rapport, de partage ou de bien —, pays, type d’appareil et navigateur. Les pages privées et transactionnelles (connexion, parcours d’estimation, rapports, espace client, retours de paiement) n’émettent aucun événement vers cette mesure, qui fonctionne sans cookie et sans identifiant persistant. En sa qualité d’hébergeur, Vercel reçoit par ailleurs les requêtes techniques nécessaires pour servir chaque page du site.
• Supabase, Inc. (États-Unis, base de données hébergée en Europe) — base de données, authentification, stockage des documents.
• Stripe Payments Europe, Limited (Irlande) — traitement des paiements.
• PostHog, Inc. (données hébergées dans l’Union européenne) — mesure d’audience limitée aux pages consultées et aux événements techniques du parcours, sans rejeu de session ni profil publicitaire.
• Resend, Inc. (États-Unis) — envoi des emails transactionnels du service (confirmation de commande, connexion) pour le compte exclusif de CombienMaMaison.fr, en qualité de sous-traitant : il reçoit l’adresse email destinataire et le contenu du message, et n’en fait aucun autre usage.
• OpenRouter, Inc. (États-Unis) — infrastructure de routage vers un modèle d’intelligence artificielle tiers pour la rédaction du texte d’analyse de votre rapport. Seules les caractéristiques techniques et localisées du bien sont transmises à cette fin ; à la date de publication, le service est configuré pour utiliser des fournisseurs de modèles dont les conditions commerciales standard excluent l’usage de vos données pour l’entraînement de leurs modèles.
• IGN, DGFiP/Etalab, ADEME, BDNB, Géorisques et SDES/SITADEL — sources de données publiques consultées pour enrichir votre estimation (cadastre, DVF, DPE, urbanisme, risques et autorisations). Seule l’adresse ou la géométrie du bien, strictement nécessaire à l’interrogation de ces sources, leur est transmise.
• ANAH — Registre national d’immatriculation des copropriétés (RNIC) — snapshot officiel limité aux départements 40 et 64, interrogé dans notre base sans transmission en temps réel de votre adresse à l’ANAH.
• Éducation nationale — annuaire officiel interrogé à partir des coordonnées du bien pour identifier les établissements ouverts les plus proches, sans classement ni donnée sur les élèves.
• ARCEP — statistiques publiques communales de couverture fibre, conservées dans notre base sans transmission en temps réel de votre adresse à l’ARCEP.

Aucune donnée n’est vendue, louée ou transmise à des fins de prospection commerciale par un tiers.

Plusieurs sous-traitants mentionnés à l’article 4 sont des sociétés de droit américain : le traitement de vos données peut donc impliquer un transfert hors de l’Union européenne. Ce transfert est encadré, pour chacun, par le mécanisme suivant — vérifié le 24 juillet 2026 auprès de la documentation contractuelle publique de chaque société :

• Vercel Inc. — clauses contractuelles types (CCT 2021) de la Commission européenne et UK IDTA, prévues par son addendum de traitement des données.
• Supabase, Inc. — clauses contractuelles types de la Commission européenne ; Supabase n’est pas certifiée au Data Privacy Framework. La base de données reste par ailleurs hébergée dans l’Union européenne.
• PostHog, Inc. — certifiée au EU-U.S. Data Privacy Framework (et à son extension Royaume-Uni), avec les clauses contractuelles types en mécanisme complémentaire. Les données de mesure d’audience sont en outre hébergées à Francfort (Allemagne).
• OpenRouter, Inc. — décisions d’adéquation de la Commission européenne lorsqu’applicables, et clauses contractuelles types dans les autres cas.
• Anthropic PBC (fournisseur du modèle utilisé par défaut pour la rédaction du texte d’analyse) — clauses contractuelles types ; à la date de vérification, Anthropic n’est pas certifiée au Data Privacy Framework.
• OpenAI (fournisseur de secours pour la rédaction et pour les tâches internes non destinées au client) — certifiée au EU-U.S. Data Privacy Framework, avec les clauses contractuelles types en mécanisme complémentaire.

Cette liste reflète les sous-traitants et fournisseurs de modèles effectivement configurés à la date de vérification ; elle sera mise à jour si cette configuration change (voir article 4).

• Compte et rapports : pendant toute la durée d’activité du compte, puis 3 ans après la dernière activité.
• Données de facturation : 10 ans, conformément aux obligations comptables.
• Retours d’expérience (avis) : anonymisés automatiquement après 24 mois — le lien avec votre compte et le commentaire libre sont alors définitivement supprimés.
• Demandes inscrites sur une liste d’attente : supprimées automatiquement après 24 mois.
• Données de mesure d’audience : 25 mois maximum.

L’accès à vos données est cloisonné par ligne (Row-Level Security) dans la base de données : un utilisateur ne peut techniquement lire que ses propres données. Les liens de partage publics de rapport sont désactivés par défaut et exposent une adresse et des coordonnées volontairement approximées, jamais l’adresse exacte sauf choix contraire du propriétaire. Aucun mot de passe n’est stocké : la connexion se fait par lien de connexion ou via Google.

Le service utilise des cookies strictement nécessaires à son fonctionnement : un cookie de session d’authentification, et — uniquement après un avis laissé anonymement sur un rapport partagé — un cookie technique (cmm_feedback_v1) limité à ce rapport, inaccessible aux scripts (HttpOnly, SameSite=Lax) et conservé au plus 180 jours, qui évite de compter deux fois le même avis. S’y ajoute un cookie d’affichage qui mémorise le département que vous avez choisi : il n’est déposé que lorsque vous ouvrez une page départementale ou un lien régional, jamais à partir de votre localisation, il ne contient que le numéro du département et il expire à la fermeture de votre navigateur. La mesure d’audience est assurée par PostHog en mode sans cookie : aucun identifiant anonyme n’est conservé dans le navigateur, les fragments d’URL et les paramètres de requête sont supprimés avant envoi, l’adresse IP n’est pas stockée — seule une localisation approximative à l’échelle de la commune en est déduite côté serveur —, et le rejeu de session, l’autocapture des interactions et le profilage publicitaire sont désactivés. Cette configuration est limitée à la mesure d’audience pour le compte exclusif de CombienMaMaison.fr et respecte le signal « Ne pas me pister » du navigateur.

Vercel Web Analytics, ajouté le 27 août 2026, mesure la fréquentation des pages publiques du site et fonctionne lui aussi sans cookie : il ne dépose aucun fichier sur votre appareil et ne conserve aucun identifiant permettant de vous suivre d’une visite à l’autre ou d’un site à l’autre. Il ne reçoit qu’un chemin de page normalisé — jamais de paramètres de requête, de fragment, ni d’identifiant de rapport, de partage ou de bien — et les pages privées ou transactionnelles n’émettent aucun événement vers ce service. Les données de parcours détaillées décrites à l’article 2 restent mesurées par PostHog seul.

Cette suppression connaît une seule exception, décrite à l’article 2 : les paramètres utm_source, utm_medium et utm_campaign sont lus une fois, en mémoire vive, pour identifier le support qui vous a amené ici. Cette lecture n’écrit rien sur votre appareil et n’y consulte rien qui y soit déjà stocké : elle ne relève donc pas du consentement prévu à l’article 82 de la loi Informatique et Libertés, qui transpose la directive « vie privée et communications électroniques » ; il n’y a, ici encore, rien à accepter.

Conformément au RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition sur vos données. Pour les exercer, écrivez à contact@combienmamaison.fr. Vous pouvez également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) — www.cnil.fr.

Le service n’est pas destiné aux personnes mineures.

Cette politique peut être mise à jour ; la date en tête de page indique sa dernière version.