Politique de Confidentialité

Dernière mise à jour : 2 octobre 2026 — Version 3.5.1

La présente politique de confidentialité décrit comment HYPE IA SAS, éditrice de la plateforme Les Devis de l’Hermine, collecte, utilise, conserve et protège vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD - Règlement UE 2016/679) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

1. Responsable du traitement

Le responsable du traitement des données personnelles est :

• Raison sociale : HYPE IA SAS
• Siège social : 7 Rue Gustave Eiffel, 29500 Ergué-Gabéric
• RCS : Quimper 102 103 116 — SIRET : 102 103 116 00012
• Plateforme : Les Devis de l’Hermine
• Contact : contact@lesdevisdelhermine.fr

2. Données collectées

2.1 Données des clients particuliers

• Identité : nom, prénom, adresse email, numéro de téléphone
• Adresse du chantier (géolocalisation pour mise en relation avec les artisans)
• Photos du chantier et des travaux à réaliser
• Description des travaux souhaités (badges, texte libre)
• Données de navigation et préférences (historique des estimations, choix d’artisan)

2.2 Données des artisans professionnels

• Identité : nom, prénom, raison sociale, adresse email, téléphone
• Numéro SIRET / SIREN (vérifié via API INSEE)
• Documents professionnels : attestation RC Pro, attestation URSSAF, et pièce d’identité du représentant légal de l’entreprise (recueillie au titre de la lutte contre le travail dissimulé — art. L. 8221-1 du Code du travail). Cette pièce fait l’objet d’une lecture automatisée destinée à comparer le nom qui y figure avec l’identité déclarée ; elle est supprimée de notre espace de stockage dès que cette vérification aboutit.
• Métiers exercés et zone d’intervention géographique
• Informations de paiement (via Stripe — HYPE IA ne stocke pas les numéros de carte)
• Photos de portfolio (réalisations)

2.3 Données techniques

• Adresse IP (utilisée pour la géolocalisation approximative afin de proposer des artisans à proximité du chantier)
• User-Agent du navigateur
• Empreintes numériques SHA-256 (traçabilité des tarifications)
• Identifiant de visite pseudonyme, obtenu par hachage SHA-256 de l’adresse IP, du User-Agent et de la date du jour (mesure d’audience — cf. article 9.2)
• Cookies essentiels (session d’authentification Supabase)
• Données d’authentification Google OAuth (si connexion via Google)
• Empreinte de votre adresse email (HMAC-SHA256 avec une clé secrète conservée côté serveur, jamais l’adresse en clair) dans le registre des crédits d’estimation offerts. Ce registre, inaccessible depuis l’application, survit à la suppression de votre compte : il empêche qu’une même adresse reçoive plusieurs fois les crédits offerts à l’inscription et, si vous recréez un compte avec la même adresse vérifiée, il permet de vous restituer le solde de crédits que vous aviez au moment de la suppression. Conservation : article 7. Les adresses relais (par exemple « Masquer mon adresse » d’Apple) sont traitées comme des adresses distinctes.

3. Finalités du traitement et bases légales

4. Traitement par intelligence artificielle

La plateforme Les Devis de l’Hermine utilise deux systèmes d’intelligence artificielle :

4.1 L’Hermine (chiffrage estimatif)

L’Hermine analyse les informations fournies par le client (description des travaux, badges, photos du chantier) pour générer un chiffrage estimatif indicatif. Les photos sont transmises à Google Gemini (Google AI) pour analyse visuelle. Les prix sont établis à partir de données de marché vérifiées et de recherche Google.

Important : Le chiffrage estimatif est purement indicatif et ne constitue pas un devis au sens légal. Aucune décision automatisée au sens de l’article 22 du RGPD n’est prise sur cette base.

4.2 Mathilde (validation documents)

Mathilde analyse automatiquement les documents professionnels téléchargés par les artisans (RC Pro, attestation URSSAF) via Google Gemini Flash (vision). Elle extrait les dates de validité et vérifie la cohérence SIRET/SIREN. En cas de doute, le document est signalé pour vérification manuelle.

La pièce d’identité du représentant légal est traitée par le même service de lecture automatisée (OCR), à seule fin d’extraire les nom et prénom qui y figurent et de les comparer à l’identité déclarée lors de l’inscription. En cas de correspondance, la pièce est supprimée de notre espace de stockage. À défaut, le dossier est placé en attente de vérification humaine : aucune décision n’est prise sur le seul fondement du traitement automatisé.

5. Destinataires des données

Vos données personnelles sont accessibles aux personnes habilitées au sein de HYPE IA SAS et aux sous-traitants suivants, dans la stricte limite de leurs missions :

5.1 Tableau des sous-traitants

5.2 Partage entre utilisateurs

Dans le cadre de la mise en relation, certaines données sont partagées de manière limitée entre clients et artisans :

• Avant paiement du forfait : l’artisan voit uniquement la ville du chantier, le type de travaux, la description des travaux rédigée par le client (coordonnées et propos injurieux y sont refusés à la saisie), les photos et l’estimation IA. Le client voit le prénom et l’initiale du nom de l’artisan, sa note et ses certifications. Les coordonnées complètes restent masquées.
• Après paiement du forfait : les coordonnées mutuelles (nom, email, téléphone, adresse) sont révélées aux deux parties pour permettre la prise de contact directe.

6. Transferts de données hors Union européenne

Certains de nos sous-traitants sont établis aux États-Unis ou y transfèrent des données (Vercel, Stripe, Google, Meta, Resend, Cloudflare). Ces transferts sont encadrés par :

• Le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) pour les entreprises certifiées
• Des clauses contractuelles types (CCT) adoptées par la Commission européenne (Décision d’exécution 2021/914)
• Des mesures supplémentaires appropriées (chiffrement en transit et au repos)

Supabase héberge nos données principales dans la région UE (Irlande). Le géocodage des adresses professionnelles des artisans est assuré par komoot GmbH (Photon), établie en Allemagne : ce traitement n’implique aucun transfert hors Union européenne.

7. Durée de conservation

À l’expiration de ces délais, les données sont supprimées ou anonymisées de manière irréversible.

8. Vos droits

Conformément au RGPD (articles 15 à 22) et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d’accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie
• Droit de rectification (art. 16) : corriger vos données inexactes ou incomplètes
• Droit à l’effacement (art. 17) : demander la suppression de vos données, sous réserve des obligations légales de conservation
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine
• Droit à la limitation du traitement (art. 18) : demander la suspension temporaire du traitement de vos données
• Droit d’opposition (art. 21) : vous opposer au traitement de vos données fondé sur l’intérêt légitime
• Droit de retirer votre consentement à tout moment pour les traitements fondés sur le consentement
• Directives post-mortem : définir des directives relatives au sort de vos données après votre décès

Pour exercer ces droits, contactez-nous à : contact@lesdevisdelhermine.fr

Nous répondrons dans un délai d’un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois supplémentaires en cas de complexité ou de nombre élevé de demandes, après information préalable.

Une pièce d’identité pourra vous être demandée en cas de doute raisonnable sur votre identité.

9. Cookies

9.1 Cookies essentiels (strictement nécessaires)

Ces cookies sont indispensables au fonctionnement de la plateforme et ne nécessitent pas votre consentement :

• Cookie de session Supabase (sb-*-auth-token) : authentification et maintien de votre session. Durée : session ou 30 jours.

Géolocalisation : nous utilisons l’adresse IP pour déterminer une localisation approximative (ville ou département) afin de vous mettre en relation avec des artisans à proximité. Cette donnée est traitée sur la base de l’exécution du contrat et n’est pas partagée à des fins publicitaires. L’adresse précise du chantier est collectée uniquement si vous la renseignez explicitement dans le formulaire de demande.

9.2 Mesure d’audience et supervision technique

Les outils de cette section mesurent l’audience de la plateforme et surveillent son bon fonctionnement sans déposer de cookie de mesure ni d’identifiant publicitaire sur votre appareil. Ils sont activés pour l’ensemble des visiteurs, sur le fondement de notre intérêt légitime (art. 6.1.f) à maintenir et améliorer le service ; ils ne font pas l’objet d’une demande de consentement préalable.

• Vercel Analytics : mesure d’audience sans cookie (pages vues, navigation), exploitée de manière agrégée.
• Suivi de visites interne : à chaque changement de page des parties publiques du site, nos serveurs enregistrent la page consultée, le site référent, le pays déduit de l’adresse IP et un identifiant de visite pseudonyme. Cet identifiant est le résultat d’un hachage SHA-256 de l’adresse IP, du User-Agent et de la date du jour : il permet de distinguer les visiteurs d’une même journée sans conserver l’adresse IP en clair, et change chaque jour. Aucun cookie ni stockage local n’est utilisé. Les pages des espaces personnels (client, artisan, administration) sont exclues de ce suivi.
• Sentry : supervision technique et correction d’anomalies. Chaque rapport d’erreur transmet votre adresse IP, l’adresse de la page consultée et, le cas échéant, l’identifiant de votre compte. Un enregistrement de session n’est déclenché qu’en cas d’erreur : aucune session n’est enregistrée en navigation normale. Si vous utilisez le formulaire de retour accessible depuis l’interface, nous recevons en outre les nom, adresse email et description que vous y saisissez, ainsi que la capture d’écran que vous choisissez d’y joindre.

Ces traitements ne servent ni à la publicité ciblée ni au profilage commercial. Vous pouvez vous y opposer à tout moment (art. 21 du RGPD) en nous écrivant a contact@lesdevisdelhermine.fr.

9.3 Cookies soumis à votre consentement

Les outils suivants déposent des cookies ou des identifiants sur votre appareil. Ils ne sont activés qu’avec votre accord, donné dans le bandeau cookies, catégorie par catégorie (art. 82 de la loi Informatique et Libertés ; art. 6.1.a du RGPD). Sans réponse de votre part, ou en cas de refus, aucun de ces cookies n’est déposé. Google Analytics peut alors transmettre des signaux sans cookie ni identifiant (nombre de pages vues, type d’appareil), qui ne permettent pas de vous reconnaître d’une visite à l’autre. Vous pouvez modifier votre choix à tout moment via le lien « Gérer les cookies » en bas de page ; votre choix est conservé 12 mois.

Mesure d’audience et analyse de la navigation (catégorie « Cookies analytiques ») :

• Google Analytics 4 (Google Ireland Ltd), via Google Tag Manager : statistiques de fréquentation et parcours sur le site (pages vues, événements comme le démarrage d’une estimation), accompagnés du métier et du code postal du chantier le cas échéant.
• Contentsquare (Contentsquare SAS, France) : cartes de clics et de défilement, et enregistrements de sessions de navigation (mouvements, clics, défilements, pages consultées), afin d’identifier ce qui gêne l’usage du site et de l’améliorer.

Publicité (catégorie « Cookies marketing ») :

• Pixel Meta (Meta Platforms Ireland Ltd) et Google Ads (Google Ireland Ltd) : mesure de l’efficacité de nos publicités et suivi des conversions (création de compte, estimation, demande publiée). Pour un artisan qui a accepté ces cookies, le paiement du forfait est aussi signalé à Meta depuis nos serveurs, avec son adresse email sous forme hachée (SHA-256), afin de rattacher la conversion à la publicité vue.

Dans les enregistrements de navigation, le texte saisi dans les champs et le contenu des espaces personnels (espace client, espace artisan, administration : coordonnées, descriptions de travaux, photos) sont masqués. Les outils de mesure d’audience et de publicité n’ont accès ni au contenu de vos demandes ni à vos photos. Refuser ces cookies n’empêche pas d’utiliser le site.

10. Sécurité des données

HYPE IA met en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :

• Chiffrement des données en transit (HTTPS/TLS) et au repos
• Row Level Security (RLS) sur la base de données Supabase : chaque utilisateur n’accède qu’à ses propres données
• Authentification sécurisée avec vérification email obligatoire
• Stockage des mots de passe avec hashage bcrypt (jamais en clair)
• Informations de paiement traitées exclusivement par Stripe (certifié PCI-DSS niveau 1) — HYPE IA ne stocke aucun numéro de carte
• Accès aux données restreint aux personnels habilités
• Journalisation des accès et horodatage des actions sensibles

11. Modification de la présente politique

HYPE IA se réserve le droit de modifier la présente politique de confidentialité à tout moment. En cas de modification substantielle, les utilisateurs seront informés par email ou par notification sur la plateforme au moins 30 jours avant l’entrée en vigueur des modifications.

La date de dernière mise à jour est indiquée en haut de cette page. Nous vous encourageons à consulter régulièrement cette page.

12. Contact DPO

Pour toute question relative à la protection de vos données personnelles, vous pouvez contacter notre Délégué à la Protection des Données :

• Email : contact@lesdevisdelhermine.fr
• Courrier : HYPE IA SAS — DPO, 7 Rue Gustave Eiffel, 29500 Ergué-Gabéric

13. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d’introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) :

• Site : www.cnil.fr
• Adresse : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Téléphone : 01 53 73 22 22

Nous vous encourageons néanmoins à nous contacter préalablement afin de trouver une solution amiable.