Projet — en attente de relecture juridique

Politique de confidentialité

Données traitées, finalités, durées, destinataires et droits des personnes.

Dernière rédaction : 07/09/2026. Cette date n’est pas une date de validation.

Préambule

Ce document est un PROJET, rédigé pour être relu. Il n’a pas été validé par un conseil juridique et n’est pas opposable en l’état. Les mentions ⟦À COMPLÉTER⟧ signalent une information que l’éditeur doit fournir : aucune valeur n’a été inventée.

1. Deux rôles distincts, à ne pas confondre

Le service traite deux catégories de données qui ne relèvent pas du même régime. Les confondre conduirait à répondre à une demande d’exercice de droits à la place d’une agence, ou à ne pas y répondre du tout.

Seyio Lab SAS — sous-traitantPour les données du CRM d’une agence : contacts, acquéreurs, vendeurs, locataires, biens, visites, documents. L’agence en est responsable de traitement ; l’éditeur les traite sur ses seules instructions.
Seyio Lab SAS — responsable de traitementPour ses propres données : comptes utilisateurs, journaux d’accès et d’audit, données de facturation, échanges avec le support.

Une personne qui a confié ses coordonnées à une agence s’adresse à cette agence, non à l’éditeur. Le service donne à l’agence les moyens de lui répondre — export et suppression — mais ne répond pas à sa place.

2. Données traitées et finalités

Identification et accèsAdresse professionnelle, appartenance à une organisation, rôle et portée. Finalité : authentifier et appliquer les habilitations.
Journaux d’accès et d’auditHorodatage, action, objet concerné, auteur. Finalité : sécurité, traçabilité, et information du client sur les consultations dont ses données font l’objet.
Données métier de l’agenceContacts, biens, mandats, visites, états des lieux, documents. Finalité : fourniture du service, sur instruction de l’agence.
FacturationIdentité du client, formule, échéances, identifiants du prestataire de paiement. Finalité : exécution du contrat et obligations comptables.
TechniquesJournaux applicatifs, compteurs de limitation de débit. Finalité : sécurité et bon fonctionnement.

Aucune donnée bancaire n’est traitée ni conservée par le service : elle est saisie directement chez le prestataire de paiement.

3. Bases légales

  • Exécution du contrat, pour la fourniture du service et la facturation.
  • Intérêt légitime de l’éditeur, pour la sécurité du service et la prévention des abus.
  • Obligation légale, pour la conservation des pièces comptables.

Pour les données métier de l’agence, la base légale est déterminée par l’agence, responsable de traitement.

4. Destinataires et sous-traitants ultérieurs

Les données ne sont ni vendues, ni cédées, ni utilisées à des fins publicitaires. Elles sont accessibles aux seuls prestataires nécessaires à la fourniture du service :

SupabaseHébergement de la base de données et des fichiers. Traite l’ensemble des données du service.
VercelHébergement et exécution de l’application. Journaux techniques.
StripeEncaissement des abonnements et émission des factures. Traite les données de facturation ; aucune donnée bancaire ne transite par le service.
ResendAcheminement des courriels transactionnels : code de connexion, invitation, alertes.
UpstashLimitation de débit distribuée. Traite des identifiants techniques de requête, pas de contenu.
CloudflareVérification anti-automatisation (Turnstile) sur l’écran de connexion, lorsqu’elle est activée.

Un accès du support de l’éditeur aux données d’un client est temporaire, justifié et journalisé. Il laisse une trace consultable par le client. Aucun accès permanent silencieux n’existe.

5. Transferts hors Union européenne

Localisation des traitements et encadrement des transferts : ⟦À COMPLÉTER : régions d’hébergement retenues et clauses applicables, à confirmer lors de la création de l’environnement de production⟧.

6. Durées de conservation

Les données métier sont conservées pendant la durée de l’abonnement, puis selon les instructions du client.

État réel du service : AUCUNE purge automatique n’est implémentée à ce jour. Les suppressions sont effectuées sur demande. Les durées définitives de conservation restent à arrêter, et aucune durée n’est promise ici tant qu’elle n’est pas tenue par le produit.

7. Sécurité

  • Cloisonnement des données par organisation, appliqué au niveau de la base de données et non par un simple filtre applicatif.
  • Refus par défaut : toute donnée non explicitement autorisée est inaccessible.
  • Authentification sans mot de passe, par code à usage unique à durée limitée.
  • Analyse antivirale de tout fichier déposé avant qu’il ne devienne consultable.
  • Chiffrement des échanges, en-têtes de sécurité et politique de sécurité du contenu.
  • Journalisation des accès et des consultations sensibles.
  • Sauvegardes, et exercice de restauration éprouvé.

8. Droits des personnes

Toute personne dispose des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, dans les conditions prévues par la réglementation.

  • Pour les données confiées à une agence : la demande s’adresse à cette agence. Le service lui fournit l’export et la suppression nécessaires pour y répondre.
  • Pour les données dont l’éditeur est responsable — compte, journaux : la demande s’adresse à l’éditeur.

Toute personne peut également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).

9. Violation de données

En cas de violation de données à caractère personnel, l’éditeur en informe sans délai injustifié le client concerné et lui fournit les éléments nécessaires à ses propres obligations de notification.

10. Contact

Adresse de contact « données personnelles » : ⟦À COMPLÉTER : adresse réellement configurée⟧. Désignation d’un délégué à la protection des données : ⟦À COMPLÉTER : à trancher⟧.

11. Analyse d’impact

Wolivo traite des données de prospects et de clients d’agences immobilières. La nécessité d’une analyse d’impact relative à la protection des données n’est pas tranchée et relève d’un conseil.