Politique de confidentialité

Petrae est un coffre-fort numérique qui centralise des documents patrimoniaux sensibles. La protection de vos données est au cœur de notre service. La présente politique décrit, en toute transparence, quelles données nous traitons, pourquoi, sur quelle base légale, avec qui, pendant combien de temps, et quels droits vous pouvez exercer. Elle complète nos conditions générales d'utilisation.

1. Responsable du traitement

Le responsable du traitement des données collectées via le service est Petrae SAS, société par actions simplifiée au capital de [capital social] €, dont le siège social est situé 14 rue de Provence, 75009 Paris (France), immatriculée au RCS de Paris sous le numéro [n° RCS] (SIREN [n° SIREN]).

Pour toute question relative à vos données personnelles ou pour exercer vos droits, vous pouvez nous écrire à support@petrae.io ou par courrier à l'adresse du siège social ci-dessus.

2. Données que nous traitons

Nous traitons les catégories de données suivantes :

• Données d'identification et de compte : adresse e-mail, et, le cas échéant, nom, prénom et identifiant Google si vous vous connectez via Google.
• Contenu que vous déposez : documents (PDF, images, etc.), leurs métadonnées (titre, catégorie, échéances, montants), les biens immobiliers que vous renseignez et les analyses générées à partir de ces éléments.
• Données de partage : informations relatives aux personnes avec qui vous partagez un bien ou un document (adresse e-mail de l'invité, rôle attribué).
• Données d'usage et techniques : journaux de connexion, adresse IP, type d'appareil et de navigateur, horodatages, données nécessaires au bon fonctionnement et à la sécurité du service.
• Données de facturation : pour les abonnements payants, les informations nécessaires à la facturation. Les données de carte bancaire ne transitent jamais par nos serveurs : elles sont traitées directement par notre prestataire de paiement (voir §5).

Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD à des fins de profilage, et nous ne vous demandons jamais plus de données que nécessaire au service que vous utilisez.

3. Finalités et bases légales

Chaque traitement repose sur une base légale précise au sens de l'article 6 du RGPD :

• Création de votre compte et fourniture du service (stockage des documents, gestion des biens, échéances, partage)Base légale : exécution du contrat (nos CGU).
• Analyse documentaire et assistant conversationnel (IA)Base légale : exécution du contrat — ces fonctionnalités sont activées à votre demande, sur les documents que vous nous confiez.
• Envoi des e-mails de service (lien de connexion, invitations, notifications d'échéance)Base légale : exécution du contrat.
• Sécurité du service, prévention des abus et des fraudes, journaux techniquesBase légale : intérêt légitime de Petrae à fournir un service fiable et sécurisé.
• Facturation et comptabilité des abonnements payantsBase légale : exécution du contrat et respect de nos obligations légales (comptables et fiscales).
• Communications non essentielles (nouveautés produit), le cas échéantBase légale : votre consentement, révocable à tout moment.

4. Intelligence artificielle et traitement de vos documents

Petrae propose une analyse automatisée de vos documents et un assistant conversationnel reposant sur des modèles d'intelligence artificielle. Le contenu strictement nécessaire à votre demande (extrait de document, métadonnées, question posée) est transmis à notre sous-traitant IA pour produire une réponse, puis renvoyé dans votre espace.

Les résultats produits par l'IA (analyses, estimations, valorisations indicatives) sont fournis à titre informatif et ne constituent ni un conseil juridique, fiscal, comptable ou financier, ni une expertise réglementée. Vous restez seul responsable des décisions prises sur cette base.

5. Destinataires et sous-traitants

Vos données ne sont jamais vendues. Elles ne sont accessibles qu'aux personnes habilitées de Petrae et aux sous-traitants techniques strictement nécessaires au fonctionnement du service, chacun encadré par un contrat conforme à l'article 28 du RGPD :

• Supabase (Supabase, Inc.) — base de données, authentification et stockage des fichiers. Hébergement dans l'Union européenne (AWS, région Paris, eu-west-3).
• Cloudflare (Cloudflare, Inc.) — hébergement applicatif, réseau de diffusion de contenu et sécurité réseau.
• Anthropic (Anthropic, PBC — États-Unis) — modèles d'IA « Claude » utilisés par l'analyse documentaire et l'assistant.
• Resend (Resend, Inc. — États-Unis) — acheminement des e-mails transactionnels.
• Google (Google Ireland Limited) — connexion via votre compte Google (OAuth), uniquement si vous choisissez cette option.
• Stripe (Stripe Payments Europe, Ltd.) — traitement des paiements pour les abonnements payants.

Nous pouvons également divulguer des données si la loi nous y oblige (réquisition judiciaire, autorité compétente).

6. Transferts hors Union européenne

Vos données sont hébergées dans l'Union européenne. Certains sous-traitants (Anthropic, Resend) sont établis aux États-Unis : les transferts correspondants sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre transatlantique de protection des données (Data Privacy Framework), assortis de mesures de sécurité complémentaires.

7. Durées de conservation

• Compte et contenu : conservés tant que votre compte est actif. À la suppression de votre compte, vos documents et données associées sont supprimés sous 30 jours (hors sauvegardes chiffrées purgées par rotation).
• Index de recherche / IA : supprimé en même temps que le document source.
• Journaux techniques et de sécurité : jusqu'à 12 mois.
• Données de facturation : conservées 10 ans pour respecter nos obligations comptables et fiscales.

8. Sécurité

Les données sont chiffrées en transit (TLS) et au repos. L'accès à vos documents est cloisonné par des règles de sécurité au niveau de la base de données (Row Level Security) : un utilisateur ne peut accéder qu'à ses propres données et à celles explicitement partagées avec lui. Les accès internes sont limités au strict nécessaire et tracés. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifierons la CNIL et, si requis, les personnes concernées, conformément aux articles 33 et 34 du RGPD.

9. Cookies et traceurs

Petrae n'utilise que des cookies strictement nécessaires au fonctionnement du service (maintien de votre session d'authentification). Ces cookies sont exemptés de consentement. Nous n'utilisons aucun cookie publicitaire ni traceur tiers à des fins de profilage marketing.

10. Vos droits

Conformément au RGPD, vous disposez à tout moment des droits suivants sur vos données :

• droit d'accès et d'information ;
• droit de rectification ;
• droit à l'effacement (« droit à l'oubli ») ;
• droit à la limitation et droit d'opposition ;
• droit à la portabilité (un export complet de vos données est disponible sur demande) ;
• droit de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci ;
• droit de définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits, écrivez-nous à support@petrae.io. Nous répondons dans un délai d'un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés).

11. Mineurs

Le service n'est pas destiné aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données relatives à des mineurs ; le cas échéant, ces données sont supprimées dès que nous en avons connaissance.

12. Modifications

Cette politique peut évoluer pour refléter des changements légaux ou techniques. La date de dernière mise à jour figure en haut de page. En cas de modification substantielle, nous vous en informerons par e-mail ou via le service.

13. Contact

Pour toute question relative à cette politique ou au traitement de vos données, contactez-nous à support@petrae.io.