Cette politique explique quelles données personnelles Rotarchi traite, pourquoi, avec qui elles sont partagées, combien de temps elles sont conservées et comment exercer vos droits, conformément au Règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) et à la loi Informatique et Libertés. Elle décrit le fonctionnement réel du service à la date indiquée ci-dessus.
1. Responsable du traitement
Le responsable du traitement des données collectées via Rotarchi est l'éditeur du service :
- Raison sociale
- Drag and Code SARL (société sous régime offshore), en collaboration avec AI Studio EI
- Forme juridique
- Drag and Code : SARL de droit tunisien, régime offshore. AI Studio : entreprise individuelle
- Immatriculation
- AI Studio EI : SIREN 103 261 186, SIRET 103 261 186 00011. Drag and Code SARL, société tunisienne, sans immatriculation française.
- Adresse du siège
- 9 rue de la Levée de Sevreau, 79000 Niort, France
- Contact données personnelles
- mohamed.ezzaouia@drag-and-code-tunisia.com
Aucun délégué à la protection des données (DPO) n'a été désigné à ce jour. Pour toute question relative à vos données, écrivez à l'adresse de contact ci-dessus.
Répartition des rôles entre l'éditeur et les organisations clientes pour les données qu'elles saisissent dans leurs projets (responsable de traitement ou sous-traitant) : [à compléter]
2. Données que nous traitons
Compte et profil
Adresse email, prénom, nom, nom d'affichage, entreprise, statut (professionnel ou particulier) et métier, présentation, fuseau horaire et, si vous en ajoutez une, photo de profil. Votre mot de passe n'est jamais stocké en clair : il est conservé sous forme hachée par notre prestataire d'authentification.
Connexion avec Google ou Microsoft
Si vous choisissez ce mode de connexion, le fournisseur nous transmet votre adresse email, votre nom et un identifiant de compte. Nous ne recevons jamais votre mot de passe Google ou Microsoft.
Sécurité du compte
Journal de sécurité : type d'événement (connexion, déconnexion, changement de mot de passe ou d'email, activation de la double authentification, liaison d'un compte Google ou Microsoft…), date et navigateur utilisé (user-agent). Facteur de double authentification (TOTP) si vous l'activez. Votre adresse IP n'est pas enregistrée dans ce journal : elle n'est utilisée que temporairement, en mémoire, pour limiter les tentatives abusives (connexion, inscription, formulaire de contact).
Organisations et collaboration
Organisations auxquelles vous appartenez et votre rôle, invitations envoyées ou reçues (adresse email de la personne invitée, rôle, dates), journal d'activité de l'organisation (invitations, changements de rôle, départs). Coordonnées professionnelles saisies pour l'en-tête des rapports : nom, adresse, téléphone, email, site web, SIRET, numéro d'inscription à l'Ordre des architectes, logo.
Projets
Nom et référence du projet, adresse et commune, parcelles cadastrales, programme, contraintes réglementaires, versions 3D et rapports générés.
Assistant IA
Messages échangés avec l'assistant intégré et résumés automatiques des conversations longues. Métriques d'usage des fonctionnalités IA (fonctionnalité utilisée, durée, nombre de jetons, modèle, résultat), sans le contenu des échanges.
Facturation (lorsque l'offre payante est ouverte)
Nom de l'entreprise, numéro SIREN ou de TVA intracommunautaire, email de facturation, identifiants client et d'abonnement chez Stripe, plan, nombre de places, dates de période d'essai. L'adresse de facturation et les données de carte bancaire sont saisies directement auprès de Stripe : Rotarchi ne les reçoit pas et ne les stocke pas. Pour n'accorder qu'une période d'essai par personne, une empreinte de votre adresse email (calculée avec une clé secrète, sans possibilité de retrouver l'adresse) est conservée dans un registre dédié.
Demande de démonstration
Nom, email, entreprise, fonction, téléphone et message saisis dans le formulaire de la page d'accueil. Ces données sont transmises par email à l'équipe Rotarchi ; elles ne sont pas enregistrées dans la base de données de l'application.
Données techniques
Cookies et stockage local strictement nécessaires (voir section 11). Comme pour tout service web, l'infrastructure qui héberge l'application journalise des données techniques de connexion (adresse IP, date, page demandée), conservées 12 mois au maximum.
Rotarchi ne vous demande aucune donnée dite « sensible » au sens de l'article 9 du RGPD (santé, opinions, origine, etc.). Évitez d'en saisir dans les champs libres (messages à l'assistant, descriptions de projet).
3. Comment ces données sont collectées
- Directement auprès de vous : formulaires d'inscription, de profil, de projet et de facturation, messages à l'assistant.
- Par Google ou Microsoft, si vous les utilisez pour vous connecter.
- Par un autre utilisateur : l'administrateur d'une organisation qui vous invite saisit votre adresse email.
- Automatiquement, lors de l'utilisation du service : journal de sécurité, métriques d'usage IA, cookies nécessaires.
- Par Stripe, pour le statut de paiement et d'abonnement, lorsque l'offre payante est ouverte.
Les données cadastrales, d'urbanisme et de risques affichées pour une parcelle proviennent de sources publiques ; elles décrivent des terrains, pas des personnes.
4. Finalités, bases légales et durées
Chaque traitement repose sur une base légale de l'article 6 du RGPD. Le consentement n'est demandé que lorsqu'il est réellement requis.
Créer et gérer votre compte, vous authentifier
- Données concernées
- Compte et profil, connexion Google ou Microsoft
- Base légale
- Exécution du contrat (art. 6.1.b)
- Durée de conservation
- Jusqu'à la suppression du compte (voir section 9)
Sécuriser votre compte et le service
- Données concernées
- Journal de sécurité, facteur de double authentification, adresse IP (temporaire)
- Base légale
- Intérêt légitime : sécurité du service (art. 6.1.f)
- Durée de conservation
- Journal : 12 mois. Adresse IP : non conservée par l'application
Fournir le service : projets, analyse réglementaire, simulation, rapports
- Données concernées
- Projets, données de parcelle, résultats générés
- Base légale
- Exécution du contrat (art. 6.1.b)
- Durée de conservation
- Tant que le projet existe dans l'organisation
Permettre la collaboration au sein d'une organisation
- Données concernées
- Appartenance, rôle, invitations, journal d'activité, en-tête des rapports
- Base légale
- Exécution du contrat (art. 6.1.b)
- Durée de conservation
- Appartenance : jusqu'au départ ou à la suppression du compte. Invitations : 30 jours après leur acceptation, révocation ou expiration. Journal d'activité : 12 mois
Répondre à vos questions avec l'assistant IA
- Données concernées
- Messages, résumés, contexte du projet
- Base légale
- Exécution du contrat (art. 6.1.b)
- Durée de conservation
- Jusqu'à la suppression des messages, du projet ou du compte
Appliquer les quotas et suivre l'usage et le coût des fonctionnalités IA
- Données concernées
- Métriques d'usage IA
- Base légale
- Intérêt légitime : maîtrise des coûts et prévention des abus (art. 6.1.f)
- Durée de conservation
- Métriques : 180 jours. Quotas : 7 jours (35 jours pour l'analyse réglementaire)
Envoyer les emails de service (confirmation d'adresse, réinitialisation du mot de passe, invitations, fin de période d'essai)
- Données concernées
- Adresse email, nom de l'organisation
- Base légale
- Exécution du contrat (art. 6.1.b)
- Durée de conservation
- Non conservés par l'application après l'envoi
Gérer la facturation et l'abonnement (lorsque l'offre payante est ouverte)
- Données concernées
- Données de facturation, registre des périodes d'essai
- Base légale
- Exécution du contrat (art. 6.1.b) et obligations comptables (art. 6.1.c)
- Durée de conservation
- Pièces comptables : durée légale de conservation (10 ans en France). Registre des essais : 3 ans
Conserver la preuve de votre acceptation des CGU
- Données concernées
- Version acceptée, date
- Base légale
- Intérêt légitime : preuve de la relation contractuelle (art. 6.1.f)
- Durée de conservation
- Jusqu'à la suppression du compte
Répondre aux demandes de démonstration
- Données concernées
- Données du formulaire de contact
- Base légale
- Mesures précontractuelles prises à votre demande (art. 6.1.b)
- Durée de conservation
- 3 ans à compter du dernier contact
Vous envoyer des nouveautés produit ou des offres
- Données concernées
- Adresse email
- Base légale
- Consentement (art. 6.1.a), donné et retiré dans Compte > Préférences
- Durée de conservation
- Aucun email de ce type n'est envoyé à ce jour
Rotarchi n'utilise aucun outil de mesure d'audience, de publicité ciblée ou de profilage commercial sans votre consentement préalable. Avec votre accord, ces outils sont chargés par Google Tag Manager (Google), dont le traitement peut impliquer un transfert de données hors de l'Union européenne.
5. Qui voit vos données au sein de Rotarchi
Les membres de vos organisations
Tous les membres d'une organisation partagée, quel que soit leur rôle, voient la liste des membres : nom, nom d'affichage, adresse email, photo, métier, rôle et date d'arrivée. Ils ne voient ni votre activité de connexion ni votre journal de sécurité.
Les propriétaires et administrateurs
Ils voient en plus les invitations en attente, le journal d'activité de l'organisation et les métriques d'usage IA des membres (fonctionnalité, durée, volume — jamais le contenu des échanges).
Les projets et les conversations
Les projets d'une organisation sont accessibles à ses membres selon leur rôle. Vos conversations avec l'assistant restent privées : aucun autre membre ne peut les lire, même sur un projet partagé.
Les liens d'invitation
La page d'une invitation affiche l'adresse email invitée et le nom de la personne qui invite à quiconque détient le lien. Ne le transférez pas.
L'éditeur
Les personnes habilitées à administrer le service peuvent techniquement accéder aux données, dans la seule mesure nécessaire à son exploitation, à sa sécurité et au support.
6. Prestataires et destinataires
Nous faisons appel aux prestataires suivants, qui ne reçoivent que les données nécessaires à leur mission :
Supabase
- Rôle
- Base de données, authentification, stockage des fichiers (photos de profil, logos), envoi des emails d'authentification
- Données concernées
- Ensemble des données de l'application
Hébergeur de l'application (voir les mentions légales)
- Rôle
- Exécution de l'application web
- Données concernées
- Données transitant par l'application, journaux techniques
Mistral AI
- Rôle
- Modèles de langage : assistant, résumés de conversation, lecture et extraction des documents d'urbanisme publics
- Données concernées
- Voir la section 7
Brevo
- Rôle
- Envoi des emails de service (invitations, période d'essai) et transmission des demandes de démonstration
- Données concernées
- Adresse email du destinataire, contenu du message
Stripe (lorsque l'offre payante est ouverte)
- Rôle
- Paiement, abonnement, factures, calcul des taxes
- Données concernées
- Nom de l'entreprise, email de facturation, SIREN ou TVA, adresse de facturation, moyen de paiement (saisi directement chez Stripe)
Google, Microsoft (si vous les utilisez)
- Rôle
- Connexion avec votre compte existant
- Données concernées
- Échange d'authentification standard (OAuth)
Rotarchi interroge aussi des services publics : données géographiques et réglementaires (IGN — Géoplateforme et API Carto, Géoportail de l'urbanisme, Géorisques) et annuaire des entreprises de l'État (vérification du numéro SIREN lors d'une souscription). Notre serveur leur transmet les références ou la géométrie des parcelles, le code de la commune, le texte d'adresse saisi dans la recherche ou le numéro SIREN — jamais votre nom ni votre email.
Les fonds de carte et les documents d'urbanisme (PDF) sont en revanche chargés directement par votre navigateur depuis les serveurs de l'IGN (data.geopf.fr), qui reçoivent donc, comme tout site consulté, votre adresse IP et des informations techniques sur votre navigateur.
Rotarchi ne vend ni ne loue vos données et ne les utilise à aucune fin publicitaire. Elles peuvent être communiquées aux autorités lorsque la loi l'impose.
7. Intelligence artificielle
Plusieurs fonctionnalités reposent sur des modèles de langage fournis par Mistral AI : l'assistant conversationnel, le résumé automatique des longues conversations, et la lecture et l'extraction des règles des documents d'urbanisme publics (PLU).
Données transmises
Votre message, les messages précédents de la conversation (ou leur résumé), le contexte du projet affiché (nom, commune, adresse, parcelles, programme, sources réglementaires), ainsi que votre statut, votre métier et le nom de votre entreprise pour adapter les réponses. Votre nom, votre adresse email et votre identifiant ne sont pas transmis.
Documents
Seuls des documents d'urbanisme publics (Géoportail de l'urbanisme) sont envoyés à Mistral AI pour lecture. Rotarchi ne propose pas de dépôt de document personnel.
Conservation chez Rotarchi
Les messages et leurs résumés sont conservés dans votre historique privé jusqu'à leur suppression. Les métriques d'usage ne contiennent pas le contenu des échanges.
Utilisation par le fournisseur
Mistral AI traite ces données dans l'Union européenne. Il ne les utilise pas pour entraîner ses modèles. Il peut les conserver temporairement pour les besoins de la sécurité, de la détection des abus et de ses obligations légales.
Fiabilité
Les réponses sont générées automatiquement et peuvent contenir des erreurs. Elles ne sont pas relues par l'équipe Rotarchi : vérifiez-les avant tout usage (voir les CGU).
Ne transmettez pas à l'assistant de données personnelles de tiers (par exemple les coordonnées de vos clients) inutiles à votre question.
Aucune de ces fonctionnalités ne prend de décision produisant des effets juridiques à votre égard ou vous affectant de manière significative au sens de l'article 22 du RGPD : elles assistent votre analyse, la décision finale vous appartient.
8. Localisation des données et transferts hors de l'Union européenne
L'éditeur de Rotarchi est identifié dans les mentions légales ; son adresse est située en France. La base de données de l'application est hébergée dans l'Union européenne, en Irlande (AWS, région eu-west-1).
Certains prestataires sont des sociétés établies hors de l'Union européenne ou font appel à des sous-traitants qui le sont. Ces transferts sont encadrés par les garanties du chapitre V du RGPD :
Supabase
- Localisation des données
- Irlande (AWS, région eu-west-1). Supabase, Inc. est une société américaine ; certains de ses sous-traitants sont situés aux États-Unis.
- Garantie en cas de transfert hors UE
- Clauses contractuelles types de la Commission européenne (décision 2021/914), intégrées à l'accord de traitement des données de Supabase
Mistral AI
- Localisation des données
- Union européenne
- Garantie en cas de transfert hors UE
- Clauses contractuelles types si un sous-traitant de Mistral AI situé hors de l'UE intervient
Brevo
- Localisation des données
- Union européenne (France, Allemagne, Belgique)
- Garantie en cas de transfert hors UE
- Pas de transfert hors de l'UE annoncé par le prestataire
Stripe (lorsque l'offre payante est ouverte)
- Localisation des données
- Union européenne et États-Unis
- Garantie en cas de transfert hors UE
- Cadre de protection des données UE–États-Unis (décision d'adéquation de 2023), complété par des clauses contractuelles types
Hébergeur de l'application (Hostinger)
- Localisation des données
- France (Paris)
- Garantie en cas de transfert hors UE
- Serveur situé en France : aucun transfert hors de l'Union européenne pour l'hébergement de l'application
Si vous vous connectez avec Google ou Microsoft, ces sociétés traitent les données de connexion en tant que responsables de traitement indépendants, selon leurs propres politiques de confidentialité.
9. Durées de conservation
Compte et profil
- Durée
- Jusqu'à la suppression du compte
Compte dont la suppression est demandée
- Durée
- Désactivé pendant 30 jours (annulable à tout moment), puis supprimé définitivement. Vous pouvez aussi le supprimer immédiatement.
Photo de profil et logo d'organisation
- Durée
- Supprimés avec le compte ou l'organisation, dans les 24 heures suivant la suppression définitive
Journal de sécurité
- Durée
- 12 mois, purge automatique quotidienne
Conversations avec l'assistant
- Durée
- Jusqu'à leur suppression par vous, celle du projet ou celle du compte
Métriques d'usage IA
- Durée
- 180 jours. Si vous supprimez votre compte avant, elles sont détachées de votre compte.
Quotas d'usage IA
- Durée
- 7 jours (35 jours pour l'analyse réglementaire)
Projets d'une organisation partagée
- Durée
- Tant que l'organisation les conserve. Si vous supprimez votre compte, ils restent à l'organisation, sans lien avec vous.
Projets de votre espace personnel
- Durée
- Supprimés avec votre compte
Invitations à une organisation
- Durée
- 30 jours après leur acceptation, révocation ou expiration
Journal d'activité d'une organisation
- Durée
- 12 mois
Preuve d'acceptation des CGU
- Durée
- Jusqu'à la suppression du compte
Registre des périodes d'essai (empreinte de l'email)
- Durée
- 3 ans
Données de facturation chez Stripe
- Durée
- Durée légale de conservation des pièces comptables (10 ans en France)
Demandes de démonstration
- Durée
- 3 ans à compter du dernier contact
Journaux techniques du serveur
- Durée
- 12 mois maximum
Sauvegardes de la base de données
- Durée
- 30 jours maximum, renouvellement automatique
10. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
Droit d'accès
Obtenir la confirmation que vos données sont traitées et en recevoir une copie.
Droit de rectification
Faire corriger des données inexactes ou incomplètes.
Droit à l'effacement
Demander la suppression de vos données, dans les cas prévus par le RGPD.
Droit à la limitation
Demander la suspension temporaire d'un traitement, dans certains cas.
Droit à la portabilité
Recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine.
Droit d'opposition
Vous opposer à un traitement fondé sur l'intérêt légitime, pour des raisons tenant à votre situation particulière.
Retrait du consentement
Retirer à tout moment un consentement donné, sans remettre en cause les traitements déjà effectués.
Directives après décès
Définir des directives relatives au sort de vos données après votre décès (loi Informatique et Libertés, art. 85).
Plusieurs droits s'exercent directement depuis votre compte :
- Accès et portabilité : Compte > Données > « Télécharger mes données » (fichier JSON : compte, profil, préférences, acceptations des CGU, journal de sécurité, organisations, projets dont vous êtes l'auteur, conversations avec l'assistant, métriques d'usage IA).
- Rectification : Compte > Profil, et Compte > Sécurité pour l'email et le mot de passe.
- Effacement : Compte > Données > « Supprimer mon compte ».
- Emails facultatifs et cookies : Compte > Préférences.
Pour toute autre demande, ou si vous n'avez plus accès à votre compte, écrivez à l'adresse de contact indiquée à la section 1. Une pièce justificative pourra vous être demandée en cas de doute raisonnable sur votre identité. Nous répondons dans un délai d'un mois, qui peut être porté à trois mois pour les demandes complexes ou nombreuses ; vous en êtes alors informé.
12. Sécurité
Rotarchi met en œuvre des mesures proportionnées au risque : chiffrement des échanges (HTTPS), mots de passe hachés, double authentification disponible, cloisonnement des données par organisation au niveau de la base de données, confirmation du mot de passe pour les actions sensibles, limitation des tentatives de connexion, déconnexion des autres appareils après un changement de mot de passe.
Aucune mesure n'offre une sécurité absolue. En cas de violation de données présentant un risque élevé pour vos droits, vous en serez informé dans les conditions prévues par le RGPD.
13. Mineurs
Rotarchi s'adresse aux professionnels de l'immobilier et aux particuliers majeurs porteurs d'un projet. Le service n'est pas destiné aux mineurs et ne collecte pas sciemment de données les concernant.
14. Modifications de cette politique
Chaque version de cette politique est numérotée et datée en tête de page. En cas de modification importante, vous en serez informé dans l'application ou par email avant son entrée en vigueur. Les versions précédentes sont disponibles sur demande.
15. Réclamation
Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr — ou de l'autorité de contrôle de votre pays de résidence.
16. Contact
Pour toute question relative à cette politique ou à vos données personnelles, écrivez à l'adresse de contact indiquée à la section 1.