Politique de confidentialité

Objet de la politique

La présente politique de confidentialité explique comment Diag-Tertiaire collecte, utilise, conserve, sécurise et, le cas échéant, transmet des données personnelles dans le cadre du site public Diag-Tertiaire, du service de pré-diagnostic énergétique, des demandes de contact et de mise en relation, de l'espace professionnel Diag-Tertiaire Pro et, le cas échéant, des futures déclinaisons professionnelles ou marque blanche du service.

Cette politique a pour objet d'informer les personnes concernées de manière claire sur les traitements réalisés.

Responsable du traitement

Le responsable du traitement est :

Exploitant :

Yannis CHERCHALI

Nom commercial :

Diag-Tertiaire

Forme juridique :

Entreprise individuelle (micro-entreprise)

Siège social :

Halle de l'Innovation, place Françoise Héritier, 34000 Montpellier, France

SIREN :

932 862 519

RCS :

Montpellier

Adresse e-mail de contact :

contact@diag-tertiaire.fr

Téléphone :

+33 7 81 03 93 49

Compte tenu de la nature et de l'échelle des traitements réalisés, la désignation d'un délégué à la protection des données (DPO) n'est pas obligatoire au sens de l'article 37 du RGPD. Le contact unique pour toute question relative aux données personnelles est l'adresse e-mail ci-dessus.

Lorsque la présente politique mentionne « Diag-Tertiaire », « nous », « notre » ou « nos », elle désigne l'entité ci-dessus.

Champ d'application

La présente politique s'applique aux visiteurs du site, aux utilisateurs du pré-diagnostic public, aux personnes qui remplissent un formulaire de contact ou demandent une mise en relation, aux utilisateurs de l'espace professionnel et, plus largement, aux personnes dont certaines données peuvent être renseignées dans l'espace professionnel, lorsque ces données constituent des données à caractère personnel.

Données susceptibles d'être collectées

Données fournies dans le cadre du pré-diagnostic public

• adresse e-mail ;
• numéro de téléphone, lorsqu'il est renseigné ;
• nom du site ou du bâtiment ;
• adresse ou localisation du site ;
• code postal ;
• activité du site ;
• surface ;
• année ou période de construction ;
• type d'énergie utilisée ;
• données de consommation et de dépenses énergétiques ;
• informations sur les travaux déjà réalisés ;
• objectif principal, horizon de projet, rôle dans la décision ;
• consentements exprimés par l'utilisateur ;
• contenu du rapport généré à partir des données saisies.

Données fournies dans le cadre d'une demande de contact ou d'intérêt Pro

• prénom et nom ;
• adresse e-mail professionnelle ;
• société ;
• message libre ;
• informations liées à la demande.

Données liées à l'espace professionnel

• prénom et nom ;
• adresse e-mail professionnelle ;
• société ou organisation ;
• rôle ou métier ;
• identifiants techniques de compte ;
• informations liées à l'authentification ;
• paramètres du workspace ;
• identité visuelle chargée par l'utilisateur, notamment logo et éléments de branding ;
• dossiers, rapports, notes, documents, fichiers et métadonnées associés ;
• données relatives à l'usage du service, à la sécurité, à la maintenance et à l'administration technique.

Données de navigation et données techniques

• adresse IP ;
• journaux techniques ;
• événements de sécurité ;
• informations liées au navigateur et au terminal ;
• données de session ;
• données stockées localement sur le navigateur lorsque cela est nécessaire au fonctionnement du service, à la continuité d'usage, à la sécurité ou à la restauration locale d'un rapport.

Finalités et bases légales des traitements

Caractère obligatoire ou facultatif des données

Les champs strictement nécessaires à la fourniture d'un service ou d'une fonctionnalité peuvent être signalés comme obligatoires.

En particulier : une adresse e-mail peut être nécessaire pour accéder à un rapport ou créer un compte ; certaines informations techniques sur le site ou le bâtiment sont nécessaires pour générer un pré-diagnostic pertinent ; certaines données sont nécessaires pour créer et exploiter un espace professionnel.

Si les données marquées comme obligatoires ne sont pas fournies, certaines fonctionnalités peuvent ne pas être accessibles ou ne pas fonctionner correctement.

Les données facultatives demeurent facultatives, mais leur absence peut limiter la précision, la fluidité ou la personnalisation du service.

Destinataires des données

Les données personnelles sont accessibles, dans la limite de leurs attributions respectives, aux seules personnes habilitées.

Peuvent notamment être destinataires des données : les membres autorisés de l'équipe Diag-Tertiaire ; les prestataires techniques intervenant pour l'hébergement, l'authentification, la base de données, le stockage, la maintenance, l'envoi d'e-mails transactionnels et la sécurité ; les partenaires professionnels, uniquement lorsque l'utilisateur a expressément demandé ou accepté une mise en relation ; les autorités administratives, judiciaires ou organismes habilités, lorsque la loi l'impose.

L'agence immobilière qui vous a transmis le diagnostic, dans les limites décrites à la finalité « Espace Agence ».

Sous-traitants et prestataires techniques

À la date de la présente politique, Diag-Tertiaire fait appel aux prestataires suivants :

• Vercel Inc. (États-Unis) - hébergement du site et exécution des fonctions serverless. Transfert encadré par les clauses contractuelles types et le Data Privacy Framework.
• Supabase Inc. (États-Unis) - authentification, base de données et stockage de fichiers de l'Espace Pro et de l'Espace Partenaires (comptes, fiches, pièces justificatives). Transfert encadré par les clauses contractuelles types et le Data Privacy Framework.
• Resend (Plus Five Five, Inc.) (États-Unis) - envoi des e-mails transactionnels, dont le lien d'accès à l'Espace Partenaires. Transfert encadré par les clauses contractuelles types.
• Calendly LLC (États-Unis) - prise de rendez-vous, dont la visio de présentation que l'entreprise candidate réserve depuis l'Espace Partenaires : le nom de la personne qui candidate (à défaut, la raison sociale) et son adresse e-mail de connexion sont placés dans le lien de réservation pour préremplir le formulaire de Calendly ; Calendly enregistre ensuite le rendez-vous et les réponses saisies. La page de réservation s'ouvre sur le site de Calendly, qui y dépose ses propres cookies et traite certaines données pour son propre compte, selon sa politique de confidentialité. Transfert encadré par le Data Privacy Framework et, à défaut, les clauses contractuelles types.
• Google LLC / Google Ireland Ltd - mesure d'audience via Google Analytics 4, chargée uniquement après consentement explicite de l'utilisateur. Transfert encadré par le Data Privacy Framework.
• PostHog Inc. (États-Unis) - statistiques de fréquentation sans cookie avant votre réponse au bandeau, arrêtées si vous refusez la mesure d'audience, et, avec votre accord, mesure d'audience détaillée, analyse des parcours et enregistrement de visites. Données hébergées dans l'Union européenne (instance EU, Francfort) ; un accès depuis les États-Unis reste possible, encadré par les clauses contractuelles types de son contrat de sous-traitance.

Pixel Meta

Si vous acceptez la catégorie « Publicité », Diag-Tertiaire et Meta Platforms Ireland Ltd sont responsables conjoints de la collecte de vos données de navigation sur ce site et de leur transmission à Meta, par le pixel comme par l'API Conversions décrite plus haut, selon les conditions de Meta applicables à ses outils professionnels. Meta est ensuite seul responsable de leur usage, notamment pour vous montrer des publicités Diag-Tertiaire sur Facebook et Instagram. Pour exercer vos droits sur ces données, vous pouvez vous adresser à Meta, selon sa politique de confidentialité, ou à Diag-Tertiaire, qui transmettra votre demande.

Google Ads

Si vous acceptez la catégorie « Publicité » et lorsque nous utilisons Google Ads, la balise Google transmet à Google Ireland Ltd les étapes de votre parcours décrites plus haut et vos données de navigation sur ce site (pages vues, identifiant du clic sur une annonce Google, cookies _gcl_au et _gcl_aw, stockage local _gcl_ls, adresse IP, type de navigateur), pour mesurer nos annonces et les afficher aux personnes qui ont visité le site. Diag-Tertiaire décide de la collecte de ces données sur ce site et de leur transmission à Google, et en répond ; Google les traite ensuite pour son propre compte, en responsable distinct, selon ses règles de confidentialité, et peut les transférer à Google LLC (États-Unis), certifiée au Data Privacy Framework. Les cookies _gcl_au et _gcl_aw sont conservés 90 jours, chaque information du stockage local _gcl_ls 90 jours au plus ; le retrait de votre accord les efface (voir la page Cookies). Pour exercer vos droits sur ces données, vous pouvez vous adresser à Diag-Tertiaire ou à Google.

Contenus externes

Le film de présentation est lu via le lecteur YouTube de Google Ireland Ltd (Google LLC aux États-Unis, transfert encadré par le Data Privacy Framework). Il n'est chargé que si vous lancez la vidéo ; Google reçoit alors notamment votre adresse IP et traite ces données selon ses propres règles de confidentialité.

Cas particulier de la mise en relation partenaire

Lorsqu'un utilisateur demande à être mis en relation avec un partenaire, Diag-Tertiaire peut transmettre aux entreprises du réseau concernées les informations strictement utiles au traitement de cette demande, notamment : identité ou coordonnées de contact ; informations sur le site ou le bâtiment ; contexte du besoin ; éléments utiles au premier niveau de qualification du projet.

Pour le financement des travaux, Diag-Tertiaire peut transmettre vos coordonnées, à votre demande, à un expert en financement partenaire de Diag-Tertiaire, qui les traite ensuite sous sa propre responsabilité. Son nom vous est indiqué au moment où vous donnez votre accord. Diag-Tertiaire ne présente aucune offre de crédit, ne prépare pas votre demande de prêt et ne vous conseille pas sur un prêt : la banque ou l'organisme qui prête étudie le dossier et décide seul de l'octroi du prêt, de son montant et de son taux.

Quand Diag-Tertiaire vous propose une entreprise du réseau, il vous explique pourquoi celle-là. C'est un avis, pas une garantie : vous restez libre de l'écarter, et cette transmission ne vaut ni garantie de disponibilité, ni garantie de résultat, ni validation de l'offre ou de la qualité du partenaire.

Diag-Tertiaire est rémunéré par les entreprises du réseau et, pour le financement, par son expert en financement partenaire, comme le précisent les conditions générales d'utilisation.

Les partenaires destinataires deviennent ensuite responsables des traitements qu'ils réalisent pour leur propre compte à partir des données qui leur ont été transmises.

Cas particulier de l'espace Pro et des données de tiers

L'espace Pro peut permettre à un utilisateur professionnel de renseigner, organiser, stocker, traiter ou partager certaines données relatives à ses propres prospects, clients, contacts, sites, dossiers ou projets.

Dans un tel cas :

• l'utilisateur Pro demeure responsable de la licéité des données qu'il renseigne dans le service et, le cas échéant, de l'information des personnes concernées ;
• Diag-Tertiaire agit, selon les cas d'usage et la documentation contractuelle applicable, soit comme responsable de traitement pour l'administration et la sécurité du service, soit comme prestataire technique traitant certaines données pour le compte de l'utilisateur Pro ;
• lorsque Diag-Tertiaire intervient en qualité de sous-traitant pour un client Pro, un cadre contractuel spécifique pourra préciser les instructions, les finalités, les catégories de données, les sous-traitants ultérieurs et les mesures de sécurité applicables.

En l'absence d'instruction contraire ou de cadre spécifique plus précis, Diag-Tertiaire limite ses opérations sur ces données à ce qui est nécessaire au fonctionnement, à l'hébergement, à la sécurité, à la maintenance, à la sauvegarde, à la restauration et au support technique du service.

Cas particulier de l'Espace Agence

L'Espace Agence permet à une agence immobilière de transmettre le diagnostic à ses clients et de suivre leurs dossiers, selon les conditions d'utilisation de l'Espace agence et le contrat d'apporteur. Pour le fournir, Diag-Tertiaire traite :

• les comptes des agences et de leurs collaborateurs : nom, adresse e-mail professionnelle, téléphone s'il est renseigné, rôle, code personnel, nom, ville et logo de l'agence, ainsi que la version des conditions acceptée, sa date et l'identité de la personne qui l'a acceptée ;
• les invitations que l'agence prépare pour ses clients : le prénom, le nom et la société qu'elle saisit elle-même (jamais l'adresse e-mail ni le téléphone du diagnostic), la date d'ouverture du lien, son expiration et, le cas échéant, sa clôture ;
• la trace des relances que l'agence envoie elle-même à ses clients, Diag-Tertiaire ne leur écrivant pas à sa place : le dossier, l'étape, le message proposé, le canal, le geste, l'utilisateur et la date, jamais le texte envoyé ni l'adresse ou le numéro du destinataire ;
• le journal des consultations des rapports partagés : quel compte a ouvert quel rapport, et quand.

Ces données servent à fournir l'Espace Agence, à le sécuriser et à garder la preuve de l'acceptation des conditions et des consultations.

Transferts de données hors Union européenne

Certains des sous-traitants listés à la section « Destinataires des données » sont établis aux États-Unis (Vercel Inc., Supabase Inc., Resend (Plus Five Five, Inc.), Calendly LLC, Google LLC, PostHog Inc.). Les données collectées par le pixel Meta peuvent aussi être transférées par Meta Platforms Ireland Ltd vers Meta Platforms Inc. (États-Unis), certifiée au Data Privacy Framework ; celles transmises par la balise Google Ads, par Google Ireland Ltd vers Google LLC (États-Unis), certifiée au Data Privacy Framework.

Ces transferts sont encadrés au moyen des mécanismes prévus par les articles 44 et suivants du RGPD : adhésion au Data Privacy Framework (UE - États-Unis) ou clauses contractuelles types de la Commission européenne, selon le prestataire, comme indiqué pour chacun ci-dessus, complétées le cas échéant par des mesures techniques et organisationnelles supplémentaires.

Aucun transfert n'est réalisé en l'absence d'un mécanisme reconnu valable au jour du transfert.

Durées de conservation

Sécurité des données

Diag-Tertiaire met en œuvre des mesures techniques et organisationnelles raisonnables destinées à protéger les données personnelles contre la destruction, la perte, l'altération, la divulgation non autorisée, l'accès non autorisé ou tout autre traitement non autorisé.

Ces mesures peuvent inclure, selon les cas : cloisonnement des accès ; authentification ; journalisation ; restrictions d'accès par organisation ; stockage privé ; limitation des accès internes ; mécanismes de suppression sécurisée ; sauvegardes et mesures de restauration ; et dispositifs de prévention des abus.

Aucune mesure de sécurité n'offrant une garantie absolue, l'utilisateur est invité à faire preuve de prudence dans les informations qu'il transmet, partage ou conserve via le service.

Données stockées localement sur le navigateur

Pour certaines fonctionnalités, Diag-Tertiaire peut utiliser des mécanismes techniques locaux du navigateur, notamment du stockage local ou de session, afin de maintenir une session ou un état de formulaire, faciliter la reprise d'un parcours interrompu, restaurer localement un rapport, limiter les abus ou comportements automatisés, et améliorer la continuité d'usage du service.

Le code de l'agence qui vous a transmis le lien est conservé 30 jours dans votre navigateur, pour rattacher votre diagnostic à cette agence.

Ces données peuvent être effacées par l'utilisateur depuis son navigateur ou, lorsque le service le permet, via une action dédiée dans l'interface.

Partage par lien et données publiées à l'initiative de l'utilisateur

Certaines fonctionnalités de partage peuvent générer un lien permettant de consulter un rapport ou un contenu sans authentification forte, lorsque ce lien est détenu.

L'utilisateur reconnaît qu'un tel lien doit être traité comme un lien de partage et non comme un coffre-fort confidentiel.

Diag-Tertiaire recommande de ne pas intégrer de données personnelles inutiles, excessives ou sensibles dans un contenu destiné à être partagé.

Données sensibles et mineurs

Le service n'a pas vocation à collecter des données sensibles au sens de la réglementation, ni des données sans lien direct avec les finalités décrites dans la présente politique.

Les utilisateurs s'engagent à ne pas transmettre, sauf nécessité juridique clairement identifiée et base légale appropriée, de données sensibles, de secrets non nécessaires, ou de données excessives au regard des finalités poursuivies.

Le service n'est pas destiné aux mineurs agissant seuls dans un cadre de consommation grand public.

Droits des personnes concernées

Sous réserve des conditions prévues par la réglementation applicable, toute personne concernée dispose notamment des droits suivants : droit d'accès ; droit de rectification ; droit à l'effacement ; droit à la limitation du traitement ; droit d'opposition ; droit à la portabilité lorsque ce droit est applicable ; droit de retirer son consentement à tout moment lorsque le traitement repose sur le consentement, sans remettre en cause la licéité du traitement antérieur à ce retrait ; droit de définir des directives relatives au sort de ses données après son décès, dans les conditions prévues par le droit français.

Exercice des droits

Les demandes relatives aux données personnelles peuvent être adressées à :

contact@diag-tertiaire.fr

Afin de protéger les personnes concernées, Diag-Tertiaire peut demander des éléments raisonnables permettant de vérifier l'identité du demandeur avant de donner suite à une demande.

En cas de difficulté non résolue, la personne concernée peut introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr/plaintes.

Absence de décision automatisée produisant des effets juridiques

Les résultats, scores, estimations, priorisations et rapports générés par Diag-Tertiaire ont une finalité indicative d'aide à la décision.

Ils ne constituent pas, en eux-mêmes, une décision automatisée produisant des effets juridiques sur la personne concernée au sens où ils ne remplacent ni une décision humaine, ni une instruction réglementaire, ni un audit opposable.

Modification de la politique

Diag-Tertiaire peut modifier la présente politique de confidentialité à tout moment pour tenir compte d'une évolution légale ou réglementaire, d'une évolution du service, d'un changement de prestataire, ou d'une évolution des traitements réalisés.

La version applicable est celle publiée sur le site à sa date de mise à jour.