Politique de confidentialité

Property Passport est un service développé et édité par Fraipont Cédric, entrepreneur individuel exerçant sous l'enseigne CFEXPERT, inscrit à la Banque-Carrefour des Entreprises sous le numéro 1008.777.630 et identifié à la TVA sous le numéro BE1008.777.630.

Adresse professionnelle : Rue des Cépées 1A/12, 4100 Seraing, Belgique.
Contact vie privée : privacy@propertypassport.be
Contact général : contact@propertypassport.be
Sécurité : security@propertypassport.be

Aucun délégué à la protection des données (DPO) n'est désigné : l'activité ne relève pas des cas de désignation obligatoire prévus par l'article 37 du RGPD. Cette appréciation reste à valider juridiquement.

• Compte : adresse e-mail, mot de passe haché, prénom, nom, téléphone facultatif, pays, langue, fuseau horaire, photo de profil facultative, consentements horodatés (CGU, confidentialité, bêta, IA).
• Biens : adresses et coordonnées géographiques du bien, caractéristiques, photos, documents importés, équipements, entretiens, données financières saisies, données ESG, valorisations et hypothèses.
• Partage : destinataires invités, droits accordés, invitations (jetons stockés hachés), liens de consultation, journal d'accès.
• Sécurité et appareils : événements de sécurité (connexion, changement de mot de passe, verrouillage), appareils enregistrés (identifiant local aléatoire, nom, navigateur, plateforme), horodatages.
• Journaux techniques : adresse IP et agent utilisateur, uniquement pour les appels d'API partenaires et les journaux d'hébergement, à des fins d'anti-abus.
• Contenus soumis à l'IA : extraits de documents et données du bien, uniquement après activation explicite des fonctions d'IA.
• Assistance : échanges avec le support.

Aucune donnée biométrique brute n'est collectée : le déverrouillage biométrique est réalisé par l'authentificateur de votre appareil (WebAuthn), qui ne nous transmet qu'un résultat de vérification. Aucune donnée de localisation de l'appareil n'est collectée : seules les adresses que vous saisissez sont géocodées.

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment depuis les réglages de l'application ou par e-mail, sans affecter la licéité des traitements déjà réalisés. Le retrait du consentement à l'IA désactive les fonctions correspondantes ; il n'entraîne pas la suppression des résultats déjà validés par vous, que vous pouvez effacer manuellement.

La qualification des bases juridiques ci-dessus reste à valider par un juriste belge.

Vos données ne sont ni vendues, ni louées, ni transmises à des tiers à des fins publicitaires. Les seuls destinataires sont les personnes que vous invitez vous-même sur un bien, et les sous-traitants techniques ci-dessous, qui agissent pour notre compte.

Transferts hors EEE : la base de données, l'authentification, les fichiers et les sauvegardes chiffrées sont hébergés dans l'Union européenne (Irlande et France), ce qui est vérifié dans notre configuration. En revanche, la diffusion du site, l'envoi des e-mails et les fonctions d'intelligence artificielle reposent sur des infrastructures mondiales et peuvent impliquer des transferts hors EEE. Pour ces flux, nos fournisseurs de plateforme et de réseau de diffusion publient un addendum de traitement des données (DPA) qui intègre les clauses contractuelles types de la Commission européenne pour les transferts restreints, complétées par des mesures supplémentaires, ainsi qu'une liste publique de leurs propres sous-traitants ; l'un d'eux invoque en outre le Data Privacy Framework lorsqu'il est applicable. La localisation précise d'exécution des modèles d'IA n'est pas garantie contractuellement : nous ne pouvons donc pas affirmer que ces contenus restent dans l'UE. Aucune fonction d'IA n'est activée par défaut ; vous gardez la maîtrise de ce flux. Les services de cartographie et d'autocomplétion d'adresse ne font l'objet d'aucun engagement contractuel signé par nos soins : leur localisation reste à confirmer. Le détail des preuves contractuelles (fournisseur, document, version, statut) est tenu à jour en interne et communiqué sur demande à l'adresse vie privée.

Liste arrêtée au 26 août 2026 et mise à jour à chaque évolution significative.

L'application ne contient aucun traceur publicitaire, aucun SDK d'attribution, aucun outil de mesure d'audience et aucun profilage. Aucune décision automatisée produisant des effets juridiques à votre égard n'est prise. L'identifiant d'appareil utilisé pour la liste de vos sessions est un identifiant aléatoire local, sans lien avec un identifiant publicitaire.

Les fonctions d'IA (classification et analyse de documents, extraction d'informations, assistants explicatifs) sont désactivées par défaut. Vos contenus ne sont transmis à la passerelle d'IA qu'après activation explicite, et uniquement pour rendre le service demandé. Les résultats sont soumis à votre validation et ne modifient jamais vos données sans action de votre part. Les conversations avec l'assistant sont conservées dans la base afin d'assurer la continuité de l'échange. En phase bêta, l'accès à l'IA est restreint à un périmètre de testeurs et peut être désactivé à tout moment par l'éditeur.

Techniquement, ces contenus transitent par la passerelle d'IA de notre fournisseur de plateforme, qui les relaie au modèle configuré. Le fournisseur de la passerelle met à disposition un DPA et les clauses contractuelles types de l'UE pour les transferts restreints. Nous ne pouvons pas garantir que ces contenus sont traités exclusivement dans l'Union européenne : la localisation d'exécution du modèle sous-jacent n'est pas garantie contractuellement et un transfert hors EEE ne peut être exclu. C'est pourquoi l'IA reste facultative, désactivée par défaut, et limitée aux contenus que vous soumettez explicitement.

Lorsque vous saisissez l'adresse d'un bien, le texte saisi est envoyé au service d'autocomplétion Komoot Photon, service annoncé comme opéré en Allemagne, afin de proposer des suggestions ; aucun identifiant de compte n'accompagne cette requête. L'affichage de la carte charge des tuiles depuis OpenStreetMap, qui reçoit à cette occasion votre adresse IP. Ces deux services sont utilisés sans contrat de sous-traitance signé par nos soins : leur localisation de traitement reste à confirmer. La position de votre appareil n'est jamais demandée ni collectée : seules les adresses que vous saisissez sont géocodées.

Vous pouvez enregistrer des informations sur des tiers (copropriétaires, intervenants, professionnels). Vous devez disposer d'un fondement légitime et informer les personnes concernées lorsque la loi l'exige. Pour ces contenus, l'éditeur agit comme prestataire technique traitant les données pour votre compte.

Suppression de compte : après votre demande, un délai de rétractation de 30 jours s'applique, durant lequel vous pouvez annuler. À l'échéance, votre compte, votre profil et les biens dont vous êtes l'unique titulaire sont supprimés, documents inclus. Les biens transférés à d'autres titulaires subsistent sans lien avec votre identité. Sont conservées, sous forme pseudonymisée ou anonymisée, les traces strictement nécessaires à la preuve et à la sécurité : horodatages, journaux d'accès et preuve d'exécution de la suppression, qui ne permettent plus de vous identifier directement.

Effet différé dans les sauvegardes : les sauvegardes sont chiffrées et protégées contre toute modification ou suppression anticipée (mécanisme d'inaltérabilité de type WORM). Une donnée supprimée dans le service actif disparaît donc des sauvegardes uniquement à l'expiration du cycle de rétention correspondant : environ 30 jours de verrouillage pour les copies de fichiers, 35 jours de verrouillage et 40 jours de conservation pour les copies quotidiennes de la base. Des copies mensuelles (environ 25 mois) et annuelles (environ 7 ans) sont conservées à des fins de continuité et de reprise après sinistre ; elles ne sont jamais utilisées pour réactiver un compte supprimé et ne sont restaurées qu'en cas d'incident majeur.

Les documents sont stockés dans des espaces privés, accessibles uniquement via des liens signés de courte durée. L'accès à chaque bien est contrôlé ligne par ligne au niveau de la base de données. Les mots de passe sont hachés, les jetons d'invitation sont stockés sous forme hachée, les échanges sont chiffrés en transit (TLS), les sauvegardes sont chiffrées avant leur envoi vers un stockage externe situé en France, et les opérations sensibles sont journalisées. Un verrouillage local de l'application et un déverrouillage biométrique optionnels sont disponibles. Aucune méthode n'offrant une sécurité absolue, nous appliquons des mesures raisonnables et proportionnées et vous informerons conformément à l'article 34 du RGPD en cas de violation susceptible d'engendrer un risque élevé pour vos droits.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants : accès à vos données, rectification, effacement, limitation du traitement, opposition au traitement fondé sur l'intérêt légitime, portabilité de vos données, et retrait du consentement pour les traitements qui en dépendent (IA, programme bêta).

• Accès et portabilité : export complet de vos données depuis l'application (Compte → Exporter mes données), dans un format structuré et lisible par machine (JSON + CSV + synthèse PDF, dans une archive ZIP). L'export couvre votre profil et vos paramètres, vos biens, documents, équipements, entretiens, chronologie, photos (métadonnées), rappels, données ESG, valorisations, finances, rapports, portefeuille, vos notes privées, vos invitations et liens de consultation, vos conversations avec l'assistant IA, vos consentements, vos rôles et accès, ainsi que les journaux vous concernant. L'archive contient la liste des exclusions et leur justification : secrets et jetons, chemins de stockage, adresses IP et user-agents, données privées d'autres utilisateurs (les e-mails de tiers sont masqués) et journaux d'exploitation conservés au titre de la sécurité.
• Rectification : directement dans l'application (profil, biens, documents) ou par e-mail.
• Effacement : suppression d'un contenu dans l'application, ou suppression du compte depuis Compte → Suppression, ou via la page publique de suppression.
• Retrait du consentement : désactivation des fonctions d'IA dans les réglages, ou demande par e-mail.
• Limitation et opposition : via le canal intégré Compte → Mes demandes RGPD, ou par e-mail à privacy@propertypassport.be, en précisant le traitement concerné.

Un canal intégré est disponible dans l'application : Compte → Mes demandes RGPD. Vous y déposez une demande d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité, et vous suivez son statut, son échéance et son historique. Comme vous êtes authentifié, aucune pièce d'identité ne vous est demandée et aucune n'est stockée. Ce registre est un canal de traitement : il ne supprime aucune donnée par lui-même. La suppression du compte reste le parcours dédié (Compte → Suppression), avec réauthentification et délai de 30 jours. L'e-mail privacy@propertypassport.be reste ouvert, notamment si vous ne pouvez plus accéder à votre compte ; nous pouvons alors demander des éléments raisonnables permettant de vérifier votre identité. Nous répondons dans un délai d'un mois (30 jours) à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires (90 jours au total) en cas de demande complexe ou de demandes nombreuses ; la prolongation est motivée par écrit et vous est communiquée dans votre suivi de demande.

Vous pouvez introduire une réclamation auprès de l' Autorité de protection des données (APD) : Rue de la Presse 35, 1000 Bruxelles, Belgique — téléphone +32 (0)2 274 48 00 — contact@apd-gba.be — www.autoriteprotectiondonnees.be. Vous disposez également d'un recours juridictionnel.

Le service est réservé aux personnes âgées d'au moins 18 ans et n'est pas destiné aux mineurs. Aucune donnée n'est sciemment collectée auprès d'un mineur.

Le détail des cookies et technologies de stockage utilisés figure dans la politique relative aux cookies. Seules des technologies strictement nécessaires sont employées.

Version du 26 août 2026. Toute modification substantielle vous sera signalée dans l'application ou par e-mail avant son entrée en vigueur.

Vie privée : privacy@propertypassport.be. Signalement de sécurité : security@propertypassport.be.