Politique de confidentialité
Steriva — gestion et simulation d’investissement immobilier
1. Qui sommes-nous
Steriva est un service de gestion et de simulation d’investissement immobilier pour particuliers, édité par À renseigner avant publication.
Responsable du traitement : À renseigner avant publication
Contact : À renseigner avant publication
2. Données que nous collectons
Données de compte
- Email, mot de passe (jamais stocké en clair — haché avec bcrypt), prénom, nom
- Téléphone (optionnel), SIRET (optionnel), régime fiscal déclaré
Données métier que vous saisissez
- Biens (adresse, type, surface, prix…)
- Locataires (nom, prénom, email, téléphone), baux, loyers, paiements
- Transactions financières et documents que vous importez
Données techniques
- Adresse IP (sécurité, anti-fraude)
- Logs de connexion (horodatage, type de requête)
Mesure d’audience
- Statistiques de fréquentation sans cookie (voir §8)
Nous ne collectons jamais : données bancaires (aucun paiement intégré à ce jour), données de santé, données biométriques.
3. Pourquoi nous utilisons ces données
| Finalité | Données | Base légale |
|---|---|---|
| Fournir le service (gestion / simulation) | Compte + métier | Exécution du contrat (CGU) |
| Sécuriser votre compte | Email, mot de passe, IP | Intérêt légitime |
| Emails liés au compte (vérification, réinitialisation) | Exécution du contrat | |
| Mesure d’audience (statistiques agrégées) | Données de navigation non identifiantes | Intérêt légitime |
Nous ne vendons vos données à aucun tiers et ne faisons pas de prospection sans consentement.
4. Qui a accès à vos données
Vos données sont traitées par les sous-traitants suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement du site + mesure d’audience (Vercel Analytics) | États-Unis* |
| Railway Corp. | Hébergement de l’application et de la base de données PostgreSQL | États-Unis* |
| Cloudflare R2 | Stockage des documents que vous importez | États-Unis / réseau mondial* |
| Cloudflare Turnstile | Vérification anti-robot à l’inscription (votre adresse IP est transmise pour ce contrôle) | États-Unis / réseau mondial* |
| Anthropic PBC | Lecture automatique de documents (scan d’un justificatif, OCR d’une liasse) et assistant de réponse : le document ou votre question lui est transmis pour produire le résultat demandé. Ces fonctions sont facultatives | États-Unis* |
| Sentry | Détection des erreurs techniques (aucun mot de passe collecté) | Union Européenne (Allemagne) |
| Resend | Envoi des emails transactionnels | Union Européenne (Irlande) |
* Les transferts hors UE sont encadrés par des clauses contractuelles types (CCT/SCC) garantissant un niveau de protection équivalent au RGPD. Un DPA est conclu avec chaque sous-traitant (art. 28 RGPD).
Anthropic n’utilise pas les documents ni les conversations qui lui sont transmis pour entraîner ses modèles (conditions commerciales / API).Nous ne partageons vos données avec aucun autre tiers, sauf obligation légale.
5. Combien de temps nous conservons vos données
- Compte actif : vos données sont conservées tant que votre compte existe.
- À la suppression de votre compte : toutes vos données (biens, locataires, baux, transactions, documents) sont effacées immédiatement et définitivement, y compris les fichiers chez notre hébergeur de documents.
- Sauvegardes de sécurité : conservées 30 jours maximum, puis purgées automatiquement.
6. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Accès / portabilité : exporter vos données au format JSON depuis Réglages → Sécurité → « Exporter mes données » (l’export couvre votre compte, vos biens et vos transactions).
- Rectification : corriger vos données depuis votre compte → Réglages.
- Effacement : supprimer définitivement votre compte et toutes vos données associées depuis Réglages → Sécurité → « Supprimer mon compte ».
- Opposition : vous opposer à un traitement pour motif légitime, en nous contactant.
Pour exercer ces droits ou pour toute question : À renseigner avant publication. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
7. Sécurité de vos données
- Mots de passe jamais stockés en clair (hachage bcrypt).
- Connexions chiffrées (HTTPS) sur l’ensemble du service.
- Limitation des tentatives de connexion (anti brute-force).
- Supervision et alertes en cas d’incident technique (Sentry).
En cas de violation de données présentant un risque pour vos droits, nous nous engageons à vous notifier sans délai injustifié (art. 33-34 RGPD).
8. Cookies et mesure d’audience
Steriva utilise Vercel Analytics, un outil de mesure d’audience sans cookie, qui produit des statistiques de fréquentation agrégées et non identifiantes (pas de traceur publicitaire, pas de suivi entre sites).
| Cookie | Catégorie | Durée | Finalité |
|---|---|---|---|
| steriva_session | Strictement nécessaire | 7 jours | Maintient votre connexion (httpOnly) |
| steriva_consent | Strictement nécessaire | 6 mois | Mémorise vos choix de consentement |
Aucun cookie publicitaire n’est déposé. Si des traceurs soumis à consentement étaient introduits, ils ne s’activeraient qu’après votre consentement explicite via le bandeau (modifiable à tout moment via « Gérer mes cookies »).
9. L’extension de navigateur Steriva
Steriva propose une extension de navigateur (Chrome). Sur une page d’annonce SeLoger que vous consultez, elle lit les informations factuelles affichées et présente une analyse chiffrée dans le panneau latéral. Cette section décrit précisément les données que l’extension traite ; les traitements côté serveur relèvent des sections 4 et 5.
L’analyse nécessite un compte Steriva. L’extension manipule donc une donnée identifiante : un jeton de session rattaché à votre compte.
Ce que l’extension envoie à Steriva
- Lors d’une analyse : les données factuelles de l’annonce consultée — prix, surface, type de bien, et s’ils sont présents l’adresse, la ville, le nombre de pièces et le DPE —, accompagnées de vos hypothèses de simulation (apport, durée et taux du prêt, taux marginal d’imposition).
- Un jeton d’authentification (en-tête « Authorization: Bearer ») accompagne la requête d’analyse : celle-ci est authentifiée, le serveur sait donc quel compte la demande (droit d’accès, quota, facturation à venir).
- Votre adresse IP est vue par le serveur, comme pour tout appel HTTPS.
- Si vous cliquez « Envoyer vers mon Steriva » : les champs factuels de l’annonce (liste blanche stricte — source, prix, surface, adresse, ville, type, pièces, DPE) sont transmis à l’application pour pré-remplir un projet.
- Jamais les coordonnées de l’agence ou du vendeur (nom, téléphone, e-mail) : l’extension ne les lit pas.
Connexion — votre mot de passe reste sur steriva.io
- La connexion s’ouvre sur steriva.io, où vous saisissez votre mot de passe : il n’est jamais saisi ni vu dans l’extension.
- Au retour, l’extension récupère un jeton depuis l’URL de redirection, jamais depuis le contenu d’une page. Aucune donnée d’annonce n’accompagne ce flux de connexion.
Ce que l’extension stocke
- Le jeton de session est stocké localement dans votre navigateur (chrome.storage.local). Il est effacé à la déconnexion et à l’expiration de la session (une réponse 401 du serveur vous déconnecte automatiquement).
- L’annonce lue est conservée en mémoire le temps de la consultation (cache par onglet), puis effacée à la fermeture de l’onglet.
Ce que l’extension ne fait pas
- Elle ne lit aucun cookie (elle ne dispose pas de la permission correspondante).
- Elle ne consulte ni votre historique de navigation, ni vos autres onglets, ni d’autres sites.
- Elle ne collecte aucune donnée bancaire et n’évalue aucune solvabilité.
- Elle n’embarque aucun outil de mesure d’audience ni de traçage.
| Catégorie de données | Concernée | Détail |
|---|---|---|
| Informations d’authentification | Oui | Un jeton de session rattaché à votre compte, stocké localement et envoyé à l’API lors d’une analyse. |
| Localisation | Oui — le bien | L’adresse du bien, issue de l’annonce publiquement affichée. Il ne s’agit pas de votre position. |
| Informations financières personnelles | Non | Les hypothèses de simulation portent sur le bien, pas sur votre situation. |
| Activité web / historique de navigation | Non | Non collectés. |
Conformément aux règles du Chrome Web Store, l’extension ne vend pas vos données à des tiers, ne les utilise pas à des fins sans rapport avec sa fonction, et ne les emploie jamais pour évaluer votre solvabilité. Côté serveur, ces traitements s’appuient sur l’infrastructure et les sous-traitants décrits au §4 et suivent les durées de conservation du §5 ; l’extension n’introduit aucun nouveau sous-traitant.
10. Modifications
Cette politique peut être mise à jour ; en cas de changement substantiel, vous en serez informé par email ou via l’application.
Dernière mise à jour : 25 septembre 2026
11. Contact
Pour toute question : À renseigner avant publication.