Protection des données

Qui est responsable ?

DiagDiag est exploité par la société COBALT, SAS, RCS Nancy 904 984 374, 44 rue de Mulhouse, 54000 Nancy, responsable des traitements décrits ici. Pour nous écrire, utilisez le formulaire dédié aux données personnelles.

Quelles données, pour quels usages ?

Votre projet et la mise en relation

Nom, prénom, email, téléphone, adresse et localisation du bien, caractéristiques du logement, diagnostics, échéance, texte libre et historique des sollicitations. Ils servent à enregistrer votre besoin, trouver des entreprises et suivre les réponses, sur la base de l’exécution du service demandé et des démarches précontractuelles prises à votre initiative.

Votre espace client ou professionnel

Identité, coordonnées de connexion, entreprise, préférences, dates d’accès, liens temporaires et acceptations contractuelles. Ils permettent l’accès sécurisé et le suivi de votre activité, sur la base du contrat ; les contrôles contre l’usurpation relèvent de notre intérêt légitime à protéger les comptes.

Annuaire et invitations professionnelles

Noms des entreprises et diagnostiqueurs, identifiants professionnels, coordonnées professionnelles, localisation et certifications proviennent de l’annuaire public des diagnostiqueurs immobiliers et des mises à jour apportées par les professionnels. Nous les réutilisons pour informer le public et proposer des projets en lien avec l’activité professionnelle : notre intérêt légitime et celui des personnes recherchant un diagnostiqueur. Une présence dans cet annuaire ne vaut pas inscription ni accord commercial avec DiagDiag.

Paiements professionnels

Commandes, montant, taxes, factures, références Stripe, mouvements de crédits, acceptation des CGV et demandes de remboursement : exécution du contrat et obligations comptables et fiscales. DiagDiag ne stocke pas le numéro complet de carte ni son cryptogramme ; ils sont saisis auprès de Stripe.

Support, réclamations et droits

Identité, coordonnées, motif, message, réponses et références du dossier : réponse à votre demande et suivi du service (contrat ou intérêt légitime selon le motif). Les demandes d’exercice de droits sont traitées au titre de nos obligations légales. Nous ne demandons pas systématiquement une pièce d’identité.

Sécurité et exploitation

Adresse IP, navigateur, journaux techniques, événements d’authentification, traces d’actions sensibles et compteurs de soumission : intérêt légitime à prévenir les fraudes et sécuriser le service. Les limites d’envoi utilisent des empreintes d’adresse IP, d’email et de téléphone, sans transmission à un fournisseur de CAPTCHA. Ces empreintes restent des données personnelles pseudonymisées, pas des données anonymes.

Mesure d’audience facultative

Avec votre accord, Google Analytics peut mesurer les pages publiques consultées, les interactions avec leur contenu, les recherches internes, le type d’appareil et la ville approximative de connexion. Les espaces privés et le formulaire de demande en sont exclus. Les adresses envoyées pour compter les pages vues ne contiennent ni paramètres ni fragments ; les termes de recherche peuvent être mesurés séparément. Les interactions avec les formulaires ne transmettent pas automatiquement le contenu des champs. Les durées et les moyens de retrait sont précisés dans la politique cookies. Refuser ne vous empêche pas d’utiliser DiagDiag.

Origine de votre demande

Nous conservons avec votre demande la page ou la campagne qui vous a conduit au formulaire, lorsqu’elle est connue. Cela nous aide à évaluer nos actions pour faire connaître DiagDiag, au titre de notre intérêt légitime à développer le service. Cette information suit la durée de conservation de votre demande. Elle n’ajoute aucun cookie et n’est pas transmise à Google Analytics. Vous pouvez vous opposer à cet usage depuis la page Vos droits.

Les champs obligatoires sont indiqués dans les formulaires : sans les informations nécessaires au projet ou à une réponse, nous ne pouvons pas assurer le service correspondant. Les champs facultatifs ne conditionnent pas l’accès. Ne renseignez pas de données de santé, pièces d’identité ou informations sensibles dans les textes libres.

Qui reçoit vos informations ?

La mise en relation sollicite jusqu’à trois entreprises au départ. Pour les nouveaux dépôts annonçant cette règle, sans prise de contact signalée après 24 heures, jusqu’à deux autres peuvent être sollicitées automatiquement. Vos choix manuels utilisent ces mêmes deux places : jamais plus de cinq entreprises au total. Les anciennes demandes conservent le périmètre annoncé lors du dépôt. Vous pouvez arrêter la recherche dans votre suivi. Les invitations contiennent le besoin, la commune et des coordonnées partielles ; après déblocage, le professionnel reçoit votre nom, téléphone, email et l’adresse du bien. Vous êtes informé de ce déblocage par email. Les entreprises ne reçoivent pas vos informations bancaires.

Chaque diagnostiqueur est responsable de l’usage des coordonnées reçues pour votre projet et de ses propres obligations d’information. Cet accès n’autorise ni la revente de vos coordonnées, ni des campagnes sans lien avec votre demande. Une fois transmises, les données peuvent aussi être conservées par le professionnel selon ses obligations : fermer la demande n’efface pas ses copies.

Les personnes habilitées de l’équipe DiagDiag et nos prestataires techniques interviennent selon leurs missions :

• Hébergement : OVH héberge le site et ses données.
• Emails : Brevo assure l’envoi des messages de DiagDiag, comme les liens de connexion et le suivi de votre demande.
• Paiements : Stripe traite les paiements professionnels.
• Adresses et cartes : notre service de recherche d’adresse utilise Addok. L’affichage des cartes fait appel à OpenStreetMap, qui reçoit notamment votre adresse IP et les images de carte demandées.
• Mesure d’audience : Google Analytics intervient uniquement avec votre accord sur les pages publiques concernées.

Des autorités ou conseils habilités peuvent recevoir les éléments légalement nécessaires.

Le service Sentry nous aide à repérer les erreurs du serveur et du navigateur. Les rapports contiennent le type d’erreur, sa position dans le code, la version du site et un contexte technique limité. Les références métier utiles au diagnostic sont pseudonymisées. Notre intégration exclut des rapports les coordonnées, le contenu des formulaires, les cookies, les liens privés et l’adresse IP. Lors d’un envoi depuis votre navigateur, le prestataire reçoit néanmoins l’adresse IP nécessaire à la connexion réseau ; son traitement dépend aussi de sa configuration et de ses engagements contractuels. Notre intégration n’enregistre pas vos sessions et ne mesure pas votre navigation.

Utilisation depuis ChatGPT

Si vous indiquez la commune du bien à ChatGPT, il peut interpréter son nom usuel et son département à partir du contexte de votre demande. DiagDiag vérifie ensuite la commune dans son catalogue et affiche le lieu retenu ; vous pouvez le corriger. Les abréviations courantes, accents, espaces et tirets sont reconnus. Si plusieurs communes restent possibles, un choix dans une petite carte permet de préciser la recherche sans ressaisir votre besoin. La commune du bien peut être différente de votre lieu de résidence. Nous ne la déduisons pas de votre position et n’utilisons pas automatiquement la position de votre appareil. L’intégration ne demande ni adresse précise ni coordonnées personnelles.

DiagDiag reçoit les critères de recherche nécessaires et renvoie les informations publiques de l’annuaire à ChatGPT. Nous ne recevons ni ne conservons l’historique complet de votre conversation. ChatGPT traite les éléments que vous lui partagez selon les conditions et la politique de confidentialité d’OpenAI ; ces éléments peuvent être traités à l’international. Consulter une fiche ou préparer un lien ne crée aucune demande et ne contacte aucun professionnel.

Lorsque vous utilisez le sélecteur, la sélection de commune et les références techniques restent en mémoire pour trente minutes au maximum sans nouvelle sélection ; vous pouvez retirer cette sélection depuis le composant. Ce retrait empêche les futures utilisations de la référence, sans effacer les informations déjà affichées dans votre conversation. La recherche directe utilise la commune transmise par ChatGPT pour l’appel en cours, sans créer de référence de sélection. Les suggestions de communes sont mises en cache quinze minutes. Des compteurs quotidiens agrégés, sans conversation, coordonnées ou identifiant de personne, sont conservés au maximum quatre-vingt-dix jours en mémoire et peuvent être perdus au redémarrage. Les limites anti-abus utilisent temporairement une empreinte technique de connexion, pendant une minute.

Si vous décidez de poursuivre sur le site, vous complétez le formulaire et donnez votre accord de transmission avant tout envoi. La demande peut conserver l’origine « lien ChatGPT » pour suivre les demandes et leurs suites commerciales. Cette indication ne prouve pas à elle seule comment vous avez découvert DiagDiag ; elle ne contient pas votre conversation.

Services internationaux

Les services Google, Stripe, Sentry et la diffusion de cartes peuvent faire intervenir des destinataires hors de l’Espace économique européen, notamment aux États-Unis. Les accords de traitement de Google, Stripe et Sentry décrivent les garanties prévues : décision d’adéquation applicable au destinataire ou clauses contractuelles types, selon le transfert concerné. Le recours à un hébergeur français ne signifie pas que tous les traitements restent en France.

Vous pouvez demander à l’équipe DiagDiag l’identité des destinataires de vos données, les pays concernés et une copie ou la référence des garanties applicables à votre traitement. Les politiques des prestataires ne remplacent pas nos obligations à votre égard.

Pendant combien de temps ?

Si votre session expire lors de l’envoi d’un formulaire de votre espace, sa saisie peut être conservée temporairement sur nos serveurs pour vous permettre de la retrouver après reconnexion. Ce brouillon reste accessible au seul compte et, pour une entreprise, au seul contact qui l’a ouvert. Il expire au bout de deux heures ; les fichiers et les consentements d’achat n’y sont pas conservés. Rien n’est envoyé ni acheté automatiquement après reconnexion.

La fermeture d’un projet met fin à sa diffusion, sans supprimer immédiatement son historique. La conservation dépend de la finalité, des obligations légales et des éventuels litiges ; un crédit sans date d’expiration ne justifie pas de garder indéfiniment tous les détails d’un projet.

• Demandes et échanges de support : politique de conservation limitée à trois ans après le dernier échange ou la clôture du dossier, hors éléments nécessaires à une obligation ou un litige. L’effacement n’est pas automatique ; vous pouvez le demander à l’équipe DiagDiag depuis la page Vos droits.
• Comptes : pendant l’utilisation du service et le traitement de leur clôture. Les éléments nécessaires aux crédits restants, à un remboursement ou à un litige sont distingués des informations qui ne sont plus utiles. Un compte inactif n’est pas supprimé automatiquement ; vous pouvez demander sa clôture et l’effacement de vos données.
• Annuaire : tant que les informations professionnelles demeurent pertinentes pour le référencement, sous réserve de mise à jour, rectification ou opposition. L’opposition aux invitations est conservée séparément pour éviter une nouvelle sollicitation ou réimportation.
• Factures et pièces comptables : dix ans à compter de la clôture de l’exercice concerné. Les preuves contractuelles utiles à une contestation relèvent de la prescription applicable, généralement cinq ans, sans conservation de toutes les données du projet pour ce seul motif.
• Emails techniques : après trente jours, la maintenance efface le contenu, les destinataires et les métadonnées des emails envoyés ou dont l’envoi est incertain. Les traces techniques de tentatives et de retours de livraison sont supprimées après quatre-vingt-dix jours. Les emails encore en attente ou rejetés restent disponibles pour résoudre leur anomalie ; ils ne relèvent pas de cette purge automatique.
• Journaux d’envoi chez Brevo : la conservation est réglée sur un mois pour tous les expéditeurs. Les aperçus des nouveaux emails ne sont pas conservés chez ce prestataire. Cette règle est distincte de la conservation des messages dans votre boîte de réception et des traces de livraison chez DiagDiag.
• Événements Stripe : le contenu des événements traités est effacé de la base technique après trente jours. Les références nécessaires pour éviter un double traitement restent conservées. L’historique métier et les factures sont distincts.
• Journaux du serveur : les journaux d’accès sont renouvelés quotidiennement, avec quatorze archives au maximum. Les journaux applicatifs sont limités en volume et remplacés par les plus récents ; leur durée varie avec l’activité. Les éléments isolés pour enquêter sur un incident sont conservés séparément pendant son traitement, avec accès restreint.
• Sauvegardes quotidiennes : elles sont conservées trente jours, puis les copies plus anciennes sont supprimées lors de la prochaine sauvegarde réussie. Une suppression du dossier n’efface pas instantanément ces copies. Après une restauration, les retraits et oppositions doivent être réappliqués avant la remise en service. Une copie conservée pour un incident ou un litige fait l’objet d’un accès restreint et d’une durée liée à sa résolution.
• Cookies : les durées et les moyens de retrait sont décrits dans la politique cookies.

Vos droits et vos choix

Selon le traitement, vous pouvez accéder à vos données, les rectifier, demander leur effacement, limiter leur utilisation, vous y opposer ou obtenir leur portabilité. Vous pouvez retirer votre consentement à la mesure d’audience sans effet rétroactif. Vous pouvez également donner des directives sur vos données après votre décès.

Professionnels : vous pouvez refuser les invitations à tout moment, sans achat ni activation de compte. Le lien de désinscription des emails et le support données personnelles permettent d’exercer ce choix. Le retrait d’une fiche de l’annuaire est une démarche distincte, également accessible sans compte.

Exercer mes droits

Vous pouvez saisir la CNIL si vous estimez que vos droits ne sont pas respectés.

Sélection et contrôles automatisés

Les entreprises proposées sont sélectionnées selon leur zone, leurs diagnostics et les règles de disponibilité détaillées dans Fonctionnement et classement. Ce rapprochement ne décide ni de l’acceptation d’un devis ni de l’attribution d’une mission. Les contrôles anti-abus peuvent refuser une soumission : contactez le support pour une vérification humaine si vous estimez ce refus injustifié.

Sécurité et évolutions

DiagDiag utilise des liens d’accès temporaires, des contrôles d’autorisation par dossier et une traçabilité des opérations sensibles. Ne transférez pas vos liens de connexion. En cas d’incident, nous devons évaluer les risques et effectuer les notifications requises. Toute évolution importante des usages de vos données doit faire l’objet d’une information adaptée, et d’un nouveau consentement lorsque nécessaire.