POLITIQUE DE CONFIDENTIALITÉ

La présente Politique explique comment CLAPY SAS traite et protège les données à caractère personnel dans le cadre du site clapy.eu, de la plateforme CLAPY et des services proposés aux professionnels de l’immobilier. Elle distingue les traitements pour lesquels CLAPY agit comme responsable du traitement de ceux réalisés pour le compte de ses clients professionnels, pour lesquels CLAPY agit comme sous-traitant.

1. Objet et champ d’application

La présente Politique s’applique notamment aux données concernant :

• les visiteurs du site CLAPY ;
• les clients professionnels, leurs représentants, collaborateurs et utilisateurs autorisés ;
• les prospects, clients et contacts dont les données sont confiées à CLAPY par un professionnel ;
• les propriétaires, vendeurs, acquéreurs, bailleurs, locataires, candidats locataires et autres personnes intervenant dans une opération immobilière ;
• les personnes échangeant avec un professionnel au moyen d’une messagerie ou d’un service connecté à CLAPY.

Les informations effectivement traitées dépendent des fonctionnalités utilisées, des intégrations activées et des données que le client professionnel choisit de confier à CLAPY.

2. Identité de CLAPY et rôles respectifs

CLAPY SAS est une société par actions simplifiée dont le siège social est situé 72 rue des Jacobins, 80000 Amiens, France. Les informations d’immatriculation complètes figurent dans les Mentions légales du site. Contact général : hello@clapy.eu. Contact relatif à la protection des données : privacy@clapy.eu.

2.1. CLAPY en qualité de sous-traitant

Lorsqu’un client professionnel utilise CLAPY pour centraliser, organiser, analyser ou exploiter les informations relatives à ses prospects, clients, contacts, biens et activités immobilières, ce client détermine les finalités poursuivies et les moyens essentiels du traitement. Il agit alors en qualité de responsable du traitement.

CLAPY traite ces données pour le compte du client, dans le cadre des fonctionnalités effectivement utilisées et conformément à ses instructions documentées. CLAPY intervient alors en qualité de sous-traitant au sens du RGPD.

Le client professionnel demeure notamment responsable :

• de la licéité de la collecte et de l’utilisation des données ;
• du choix de la base légale applicable ;
• de l’information des personnes concernées ;
• de la détermination des durées de conservation applicables aux données métier qu’il confie à CLAPY ;
• du traitement des demandes d’exercice des droits.

CLAPY assiste le client professionnel dans le respect de ces obligations, dans les limites de son rôle, du contrat applicable et des fonctionnalités disponibles.

2.2. CLAPY en qualité de responsable du traitement

CLAPY agit en qualité de responsable du traitement pour les opérations dont elle détermine elle-même les finalités et les moyens, notamment :

• la création, l’administration et la sécurisation des comptes utilisateurs ;
• l’authentification et la protection des accès ;
• la gestion des abonnements, de la facturation et de la relation contractuelle ;
• le traitement des demandes administratives, commerciales et de support ;
• la sécurité de la plateforme, la prévention des fraudes et des utilisations abusives ;
• le fonctionnement du site internet et des services propres à CLAPY ;
• le respect de ses obligations légales, comptables, fiscales et réglementaires.

Lorsque le support technique implique l’accès à des données métier confiées par un client professionnel, CLAPY continue d’agir comme sous-traitant pour cet accès.

3. Personnes concernées

Selon le contexte, CLAPY peut traiter des données relatives aux catégories de personnes suivantes :

• visiteurs du site et personnes demandant des informations ou une démonstration ;
• clients professionnels, représentants légaux, collaborateurs, salariés et utilisateurs autorisés ;
• personnes contactant le support ou les services de CLAPY ;
• prospects et clients des professionnels utilisant CLAPY ;
• vendeurs, propriétaires, bailleurs, acquéreurs, locataires et candidats ;
• garants, mandataires, représentants et autres personnes mentionnées dans un dossier ou une communication professionnelle ;
• interlocuteurs professionnels de prestataires ou partenaires.

4. Catégories et sources des données

4.1. Catégories de données

Selon les fonctionnalités activées, les données traitées peuvent notamment comprendre :

• données d’identification et de contact : nom, prénom, coordonnées, informations professionnelles et, pour les échanges reçus par une messagerie connectée, l’identifiant ou le nom d’utilisateur attribué à l’interlocuteur par ce service ;
• données relatives aux échanges : messages, demandes, réponses, historique des échanges et, le cas échéant, pièces jointes ;
• données relatives aux projets immobiliers : type de projet, critères, budget, zone géographique, caractéristiques recherchées et état d’avancement ;
• données relatives aux biens : type, localisation, prix, caractéristiques, disponibilité, description, photographies et informations de commercialisation ;
• données de suivi : historique des contacts, actions, rendez-vous, rappels, commentaires, statuts et informations d’organisation ;
• informations produites par CLAPY : synthèses, classements, rapprochements, suggestions, priorités ou rappels ;
• données techniques et de sécurité : identifiants techniques, connexions, journaux, actions sensibles et incidents, ainsi que, pour les comptes professionnels de messagerie connectés par le client, notamment un compte Instagram professionnel, les identifiants techniques du compte, son nom d’utilisateur et les éléments d’autorisation nécessaires au fonctionnement de l’intégration ;
• données administratives et contractuelles : compte, abonnement, facturation, support et relation contractuelle.

4.2. Sources des données

Les données peuvent provenir :

• du client professionnel et de ses utilisateurs autorisés ;
• des personnes qui communiquent avec le professionnel ;
• des services de messagerie ou de communication connectés par le client, notamment Gmail, WhatsApp, Messenger ou Instagram lorsque ces intégrations sont activées ;
• des documents, fichiers et pièces jointes transmis dans le cadre de l’activité professionnelle ;
• de sources d’informations ou d’annonces immobilières configurées et autorisées par le client ;
• de l’utilisation de CLAPY elle-même, notamment pour la génération de données de suivi, de synthèses ou de journaux techniques.

Lorsqu’un client professionnel connecte un compte Instagram professionnel, CLAPY reçoit, dans la limite des autorisations accordées par le titulaire du compte, les informations de base de ce compte ainsi que les messages directs échangés avec lui, afin de les intégrer à l’espace du client. Cette intégration est utilisée pour la messagerie : elle ne sert pas à collecter les publications, commentaires ou listes d’abonnés du compte.

4.3. Données obligatoires ou facultatives

Lorsque CLAPY collecte directement des données pour créer ou administrer un compte, les champs nécessaires au service sont identifiés comme tels. Le défaut de fourniture d’une information indispensable peut empêcher la création du compte, l’accès à une fonctionnalité ou le traitement d’une demande. Pour les données métier confiées à CLAPY, le client professionnel détermine les informations qu’il doit collecter dans le respect du principe de minimisation.

5. Finalités et bases légales

5.1. Données traitées pour le compte d’un client professionnel

Lorsque CLAPY agit comme sous-traitant, les traitements peuvent notamment permettre :

• la centralisation et l’organisation des prises de contact et échanges professionnels ;
• la création et la mise à jour de fiches contacts, prospects, clients et biens ;
• la qualification et le suivi des demandes et projets immobiliers ;
• le rapprochement entre des critères exprimés et les caractéristiques de biens disponibles ;
• la préparation de synthèses, rappels, priorités et suggestions d’actions ;
• l’organisation des rendez-vous, relances et communications, selon les fonctionnalités activées ;
• la recherche et la consultation des informations enregistrées ;
• l’exportation, la restitution ou la suppression d’informations uniquement lorsque la fonctionnalité correspondante est effectivement disponible ou lorsqu’une demande doit être traitée conformément au contrat ou à la réglementation.

Le client professionnel, en qualité de responsable du traitement, détermine la base légale applicable aux traitements qu’il met en œuvre. Selon le contexte, il peut notamment s’agir de mesures précontractuelles, de l’exécution d’un contrat, d’une obligation légale, d’un intérêt légitime ou du consentement lorsque celui-ci est requis.

5.2. Traitements propres à CLAPY

Pour ses propres traitements, CLAPY peut notamment s’appuyer sur :

• l’exécution du contrat ou de mesures précontractuelles pour créer et administrer les comptes, gérer l’abonnement, fournir le service et assurer le support ;
• le respect d’obligations légales, notamment comptables, fiscales ou résultant d’une demande juridiquement valable d’une autorité ;
• l’intérêt légitime de CLAPY, notamment pour sécuriser la plateforme, prévenir les fraudes et abus, assurer la fiabilité du service, diagnostiquer les incidents, protéger ses droits et gérer la relation B2B ;
• le consentement lorsqu’il est requis, notamment pour certains traceurs non nécessaires ou certaines communications facultatives.

6. Destinataires, prestataires et services connectés

Dans la limite de leurs attributions et de leurs besoins d’accès, les données peuvent être accessibles :

• au client professionnel concerné et à ses utilisateurs autorisés ;
• aux personnes habilitées au sein de CLAPY ;
• aux prestataires techniques nécessaires à l’hébergement, à la sécurité, à l’envoi d’e-mails, au support ou au fonctionnement du service ;
• aux services tiers expressément connectés ou activés par le client ;
• aux prestataires de paiement ou de facturation lorsque cela est nécessaire ;
• aux autorités ou organismes légalement habilités lorsqu’une obligation ou demande juridiquement valable l’impose.

Lorsqu’un service de messagerie est connecté par le client, notamment Instagram, Messenger ou WhatsApp, les messages reçus et envoyés au moyen de CLAPY transitent par ce service, qui les traite selon ses propres conditions et sa propre politique de confidentialité.

CLAPY tient à jour la documentation relative aux prestataires et sous-traitants auxquels elle recourt. Les informations devant être communiquées aux clients professionnels au titre de la réglementation applicable et des engagements contractuels de CLAPY sont mises à leur disposition dans le cadre approprié.

CLAPY ne vend pas les données métier confiées par ses clients et ne les communique pas à des tiers pour une finalité commerciale indépendante incompatible avec les instructions du client.

7. Intelligence artificielle et traitements automatisés

Certaines fonctionnalités de CLAPY peuvent utiliser des traitements automatisés ou des technologies d’intelligence artificielle pour structurer et synthétiser des échanges, identifier des informations utiles, rapprocher des critères avec des biens, classer des informations ou proposer des rappels, priorités et suggestions.

Pour les échanges reçus par les canaux connectés, notamment Instagram, WhatsApp, Messenger ou Gmail, ces fonctionnalités peuvent notamment consister à :

• analyser le contenu des messages afin d’identifier le projet et les critères exprimés ;
• qualifier la demande et évaluer son degré de sensibilité ;
• créer ou compléter la fiche du prospect concerné ;
• préparer une suggestion de réponse ou une action proposée au professionnel.

Les modalités d’envoi des réponses dépendent des paramètres choisis par le client professionnel et de règles de sécurité appliquées par CLAPY :

• certaines réponses simples, telles qu’un accusé de réception ou une demande de précisions sur le projet, établies à partir de modèles prédéfinis, peuvent être envoyées automatiquement lorsque les paramètres du client le permettent ;
• les demandes portant notamment sur un bien précis, une visite, des conditions financières ou des documents donnent lieu à une proposition soumise à la validation du professionnel avant tout envoi ;
• les situations sensibles, telles qu’une réclamation, un litige, une négociation ou une demande d’arrêt des contacts, sont signalées au professionnel et ne donnent lieu à aucune réponse automatique ;
• aucune réponse n’est envoyée automatiquement par e-mail ;
• le client professionnel peut exiger la validation préalable de toutes les réponses ou suspendre les réponses automatiques.

Les réponses envoyées, automatiquement ou après validation, sont enregistrées dans l’historique de la conversation concernée.

Lorsque l’exécution d’une fonctionnalité le nécessite, seules les informations pertinentes ont vocation à être transmises au prestataire technologique concerné. Ces traitements sont limités à ce qui est nécessaire à la fourniture de la fonctionnalité utilisée.

CLAPY n’utilise pas les données métier de ses clients pour entraîner son propre modèle général d’intelligence artificielle. Le traitement réalisé par un fournisseur externe demeure encadré par les conditions contractuelles et les configurations applicables au service utilisé par CLAPY.

Les résultats produits par CLAPY constituent des outils d’assistance. Ils peuvent être incomplets ou inexacts et doivent être vérifiés par le professionnel lorsque la décision envisagée produit des conséquences pour un tiers.

CLAPY n’a pas vocation à prendre seule, de manière exclusivement automatisée, une décision produisant des effets juridiques ou affectant significativement une personne. La décision finale reste sous le contrôle du professionnel.

8. Localisation des traitements et transferts internationaux

CLAPY s’appuie sur plusieurs prestataires techniques. Certains prestataires, entités ou sous-traitants ultérieurs peuvent être situés en dehors de l’Espace économique européen.

Lorsqu’un transfert de données personnelles vers un pays tiers est nécessaire et que le RGPD l’exige, CLAPY veille à ce qu’il repose sur un mécanisme reconnu par la réglementation applicable, tel qu’une décision d’adéquation, des clauses contractuelles types de la Commission européenne ou toute autre garantie appropriée.

CLAPY privilégie, lorsque cela est techniquement et contractuellement possible, des configurations européennes pour les traitements concernés. La localisation précise d’un traitement peut dépendre du service utilisé et de sa configuration.

9. Conservation, accès, restitution et suppression

9.1. Principe de conservation

Les données personnelles ne sont pas conservées plus longtemps que nécessaire au regard des finalités poursuivies, sous réserve des obligations légales applicables, des besoins de sécurité et de la nécessité éventuelle de conserver certaines informations pour constater, exercer ou défendre des droits.

Lorsque CLAPY agit comme sous-traitant, le client professionnel demeure responsable de la détermination des durées applicables aux données métier qu’il confie à CLAPY, sous réserve des obligations propres de CLAPY. Lorsque CLAPY agit comme responsable du traitement, les durées sont déterminées selon la nature de la donnée, la finalité, la durée de la relation et les obligations légales ou de preuve applicables.

9.2. Accès, restitution et export des données

Selon les fonctionnalités effectivement disponibles dans la version de CLAPY utilisée par le Client, certains outils de consultation ou d’export peuvent être proposés directement dans la plateforme.

L’absence éventuelle d’un mécanisme d’export en libre-service dans l’interface n’affecte pas les droits que les personnes concernées peuvent exercer conformément à la réglementation applicable. Les demandes d’accès, de restitution ou, lorsque les conditions légales sont réunies, de portabilité peuvent être adressées à CLAPY ou au client professionnel concerné selon le rôle respectif de chacun dans le traitement.

9.3. Désactivation et fin d’accès

Un compte peut être désactivé ou son accès suspendu dans les conditions prévues par les documents contractuels, notamment à la demande du Client, à la fin du contrat ou lorsque cela est nécessaire pour assurer la sécurité du service.

La désactivation ou la suspension d’un accès n’entraîne pas, à elle seule, la suppression immédiate des données associées.

Le client professionnel peut déconnecter une intégration de messagerie depuis son espace. Pour un compte Instagram professionnel, la déconnexion supprime, dans les systèmes de CLAPY, l’autorisation d’accès conservée pour ce compte : CLAPY cesse alors d’enregistrer les messages reçus sur ce compte et ne peut plus envoyer de message en son nom. La déconnexion depuis CLAPY ne retire pas nécessairement l’autorisation enregistrée auprès de Meta ; le titulaire du compte peut la retirer depuis les paramètres de son compte Instagram, ce qui produit les mêmes effets lorsque Meta en informe CLAPY.

Les conversations, messages et fiches déjà enregistrés dans l’espace du client ne sont pas supprimés du seul fait de la déconnexion. Ils relèvent des données traitées pour le compte du client et suivent les règles de conservation et de suppression applicables à son espace.

9.4. Demande d’effacement ou de suppression

Toute personne peut demander l’effacement de données la concernant dans les conditions prévues par la réglementation applicable.

Lorsque CLAPY agit en qualité de responsable du traitement, la demande peut être adressée à privacy@clapy.eu. Lorsqu’il s’agit de données traitées par CLAPY pour le compte d’un client professionnel, la demande doit être adressée en priorité à ce professionnel ; CLAPY lui apporte l’assistance nécessaire conformément à ses obligations de sous-traitant.

CLAPY peut mettre en œuvre des vérifications raisonnables afin de confirmer l’identité du demandeur ou son droit à formuler la demande lorsqu’une telle vérification est nécessaire.

Lorsqu’une demande de suppression est transmise par Meta pour un compte Instagram connecté à CLAPY, CLAPY supprime l’autorisation d’accès conservée pour ce compte, cesse de traiter les messages qui lui sont adressés, enregistre la demande et communique une référence de suivi. Les échanges et fiches enregistrés dans l’espace d’un client professionnel relèvent de ce client, en qualité de responsable du traitement : leur suppression est traitée avec lui, conformément au point 9.5 et aux engagements contractuels applicables.

9.5. Effacement effectif

Lorsqu’un effacement doit être effectué, CLAPY met en œuvre les opérations nécessaires sur les systèmes relevant de sa responsabilité, sous réserve des données dont la conservation demeure nécessaire pour respecter une obligation légale, assurer la sécurité, prévenir la fraude ou permettre la constatation, l’exercice ou la défense de droits en justice.

Certaines copies résiduelles peuvent subsister temporairement dans les sauvegardes techniques jusqu’à leur renouvellement normal. Elles ne sont pas utilisées activement et ne doivent pas être réintroduites dans les systèmes actifs en contradiction avec un effacement valablement effectué.

CLAPY n’annonce pas de délai contractuel uniforme de suppression de l’ensemble des données tant qu’un tel délai n’a pas été techniquement validé pour tous les systèmes et prestataires concernés.

9.6. Données conservées au titre d’une obligation ou d’un besoin légitime

Certaines informations peuvent devoir être conservées au-delà de la fermeture d’un compte ou d’une demande d’effacement lorsqu’une telle conservation est nécessaire :

• au respect d’une obligation légale ou réglementaire ;
• à la gestion de la facturation, de la comptabilité ou de la preuve contractuelle ;
• à la constatation, à l’exercice ou à la défense de droits en justice ;
• au traitement d’un incident de sécurité ;
• à la prévention d’une fraude ou d’une utilisation abusive ;
• à la prise en compte durable d’une opposition à la prospection lorsque cela est nécessaire.

9.7. Sauvegardes techniques

Les sauvegardes techniques peuvent contenir temporairement des copies résiduelles de données retirées des systèmes actifs. Ces copies suivent les cycles de renouvellement et de rétention applicables aux prestataires concernés et ne sont pas utilisées comme source active normale du service.

9.8. Journaux techniques et de sécurité

CLAPY peut conserver des journaux techniques nécessaires à la sécurité, au diagnostic, à la traçabilité d’opérations sensibles et au bon fonctionnement du service. Leur contenu et leur durée sont limités à ce qui est nécessaire aux finalités concernées.

10. Sécurité et confidentialité

10.1. Mesures techniques et organisationnelles

CLAPY met en œuvre des mesures techniques et organisationnelles proportionnées aux risques afin de préserver la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et des données.

Selon les traitements concernés, ces mesures visent notamment à :

• sécuriser les échanges de données et les sessions ;
• authentifier les utilisateurs et contrôler les habilitations ;
• limiter l’accès aux données et fonctionnalités sensibles ;
• cloisonner les espaces appartenant à des clients différents ;
• protéger les clés, secrets et identifiants techniques ;
• assurer la traçabilité des opérations sensibles lorsque cela est nécessaire ;
• détecter, analyser et traiter les incidents de sécurité ;
• corriger les vulnérabilités identifiées et faire évoluer les mesures de protection.

10.2. Confidentialité et cloisonnement

L’accès aux données personnelles est limité aux personnes et systèmes qui en ont besoin pour leurs missions. Les utilisateurs sont soumis aux règles d’habilitation applicables à leur espace, et CLAPY met en œuvre des mécanismes d’autorisation destinés à empêcher l’accès d’un client aux données d’un autre client.

10.3. Incidents et violations de données

En cas d’incident de sécurité, CLAPY met en œuvre les mesures appropriées pour l’identifier, en limiter les conséquences, sécuriser les systèmes et documenter les actions correctrices.

Lorsqu’elle agit comme sous-traitant, CLAPY informe le client professionnel concerné sans délai indu lorsqu’elle prend connaissance d’une violation affectant les données traitées pour son compte. Lorsqu’elle agit comme responsable du traitement, CLAPY effectue les notifications et communications requises par la réglementation lorsque leurs conditions sont réunies.

11. Vos droits

11.1. Droits susceptibles de s’appliquer

Selon la nature du traitement, sa base légale et votre situation, vous pouvez notamment disposer :

• d’un droit d’accès ;
• d’un droit de rectification ;
• d’un droit à l’effacement dans les cas prévus par la réglementation ;
• d’un droit à la limitation du traitement ;
• d’un droit d’opposition lorsque ses conditions sont réunies ;
• d’un droit à la portabilité lorsque ses conditions sont réunies ;
• du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci ;
• du droit d’introduire une réclamation auprès de l’autorité de contrôle compétente.

Ces droits ne sont pas absolus et peuvent être limités dans les cas prévus par la réglementation.

11.2. Données pour lesquelles CLAPY est responsable du traitement

Pour exercer vos droits concernant les traitements dont CLAPY est responsable, vous pouvez écrire à privacy@clapy.eu en indiquant la nature de votre demande et les informations raisonnablement nécessaires pour identifier les données concernées.

CLAPY ne demande pas systématiquement une copie d’un document d’identité. En cas de doute raisonnable sur l’identité du demandeur, des informations complémentaires strictement nécessaires et proportionnées peuvent être demandées.

11.3. Données métier traitées pour le compte d’un professionnel

Lorsque la demande concerne des données enregistrées dans l’espace d’un client professionnel, ce client est en principe responsable de la réponse. La demande doit donc être adressée en priorité au professionnel concerné. Si CLAPY reçoit directement une telle demande, elle peut la transmettre au client identifiable et lui apporter l’assistance nécessaire.

11.4. Délais de réponse

Les demandes d’exercice des droits sont traitées dans les délais prévus par la réglementation applicable. Lorsque la demande est complexe ou nombreuse, les prolongations autorisées par le RGPD peuvent s’appliquer, sous réserve d’en informer la personne concernée dans les conditions prévues par le texte.

11.5. Réclamation auprès de la CNIL

Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) si vous estimez que le traitement de vos données ne respecte pas la réglementation applicable. Le fait de contacter préalablement CLAPY ou le professionnel concerné ne limite pas ce droit.

11.6. Sort des données après le décès

Conformément au droit français applicable, une personne peut définir des directives relatives à la conservation, à l’effacement et à la communication de ses données personnelles après son décès. Les directives portant sur des traitements dont CLAPY est responsable peuvent être adressées à CLAPY ; celles relatives à des données métier doivent être adressées au professionnel responsable du traitement concerné.

12. Contact relatif à la protection des données

Pour toute question relative à la présente Politique ou aux traitements dont CLAPY est responsable : privacy@clapy.eu.

Pour les données métier traitées pour le compte d’un client professionnel, la demande doit être adressée en priorité au professionnel concerné.

13. Cookies, traceurs et communications électroniques

13.1. Traceurs nécessaires

CLAPY peut utiliser des cookies, éléments de stockage ou mécanismes techniques strictement nécessaires au fonctionnement, à l’authentification, à la sécurité et à la fourniture des services demandés par l’utilisateur.

13.2. Traceurs non nécessaires

Si CLAPY met en œuvre des traceurs statistiques, publicitaires ou autres traceurs soumis au consentement, ceux-ci ne sont déposés ou lus qu’après information de l’utilisateur et recueil de son consentement lorsque celui-ci est requis.

13.3. Courriels transactionnels et communications

CLAPY peut utiliser un prestataire spécialisé pour l’envoi de courriels transactionnels nécessaires au fonctionnement du service, à la sécurité des comptes, au support ou à la relation contractuelle.

CLAPY peut traiter les informations techniques nécessaires à la gestion des envois, telles que la délivrance, les erreurs de livraison, les désinscriptions et les signalements de courriers indésirables.

Lorsque CLAPY adresse des communications commerciales facultatives et que le consentement est requis, le destinataire peut retirer son consentement ou se désinscrire selon les modalités mises à sa disposition.

14. Modification de la présente Politique

CLAPY peut modifier la présente Politique afin de tenir compte de l’évolution de la plateforme, des traitements, des prestataires ou de la réglementation applicable.

La date de la dernière mise à jour figure en tête du document. Lorsqu’une modification importante l’exige, CLAPY informe les personnes concernées ou ses clients professionnels par un moyen approprié et recueille un nouveau consentement lorsque la réglementation le requiert.