Politique de confidentialité et de protection des données

Cette politique explique comment les données personnelles sont traitées lors de la consultation du site regis.build, d’une demande de démonstration et de l’utilisation de la solution Régis.

Régis est une solution professionnelle de gestion documentaire destinée aux acteurs de la construction.

Pour le site public, les demandes de contact, la relation commerciale, la facturation et l’administration générale du service, le responsable du traitement est :

FAPR n’a pas désigné de délégué à la protection des données auprès de la CNIL.

Données des projets de construction

Lorsqu’une organisation cliente utilise Régis pour gérer les documents d’un projet, cette organisation détermine les finalités du traitement et les personnes autorisées à accéder au projet.

Dans ce cadre, l’organisation cliente agit en qualité de responsable du traitement et FAPR intervient comme sous-traitant pour fournir et sécuriser la solution Régis.

L’administrateur de l’affaire configure les lots, les intervenants, les droits d’accès et les règles de diffusion applicables au projet.

Selon votre utilisation du site ou de la solution, les données suivantes peuvent être traitées :

• nom, prénom, fonction, entreprise, adresse électronique professionnelle et numéro de téléphone ;
• informations relatives au compte, aux rôles, aux projets et aux autorisations ;
• adresse IP, navigateur, dates de connexion et données techniques nécessaires au fonctionnement et à la sécurité ;
• documents techniques, plans, rapports, comptes rendus, observations, visas, annotations et pièces jointes ;
• messages ou réponses transmis par email, lien sécurisé ou directement dans la plateforme ;
• historique des dépôts, renommages, changements d’indice, diffusions, visas et autres actions réalisées dans Régis ;
• informations contractuelles, adresse de facturation, factures et historique des paiements ;
• demandes adressées au support ou à l’équipe commerciale ;
• données de navigation du site public, uniquement lorsque les traceurs concernés ont été acceptés.

Les données bancaires ne sont pas enregistrées directement par FAPR lorsqu’un paiement est réalisé par Stripe.

Certaines données sont indispensables pour créer un compte, vérifier qu’un utilisateur est autorisé à rejoindre une affaire, transmettre un document, poser un visa ou répondre à une observation.

Sans ces informations, FAPR peut ne pas être en mesure de fournir le service demandé. Les champs facultatifs sont présentés comme tels lorsque les données sont collectées.

Les données sont accessibles uniquement aux personnes qui en ont besoin dans le cadre de leurs fonctions ou de leur participation au projet :

• utilisateurs autorisés du projet, dans la limite des droits configurés ;
• administrateurs désignés par l’organisation cliente ;
• personnel habilité de FAPR, lorsque cela est nécessaire pour l’assistance, la sécurité ou l’exploitation du service ;
• prestataires techniques intervenant pour le compte de FAPR.

Les principaux services utilisés sont :

• Hostinger, pour l’hébergement du site public ;
• Supabase, pour la base de données, le stockage des fichiers et l’authentification de l’application ;
• Brevo et les services d’envoi de Supabase, pour les messages transactionnels ;
• Stripe, lorsqu’un paiement est réalisé par carte ;
• des prestataires professionnels d’intelligence artificielle, pour les traitements décrits ci-dessous ;
• Google Tag Manager, pour gérer les balises du site public. Les balises non essentielles ne doivent être activées qu’après consentement.

FAPR peut changer de prestataire technique en fonction des performances, de la disponibilité, du coût ou de l’évolution du service. Ces prestataires sont sélectionnés en tenant compte de leurs engagements contractuels en matière de confidentialité et de sécurité.

Le site public regis.build est hébergé sur un serveur VPS fourni par Hostinger et administré avec CloudPanel.

La base de données, les fichiers et l’authentification de l’application Régis sont hébergés par Supabase, dans une région configurée en France.

Certains prestataires peuvent être établis ou avoir des équipes en dehors de l’Espace économique européen. Lorsqu’un transfert international de données est nécessaire, FAPR s’appuie sur un mécanisme reconnu par le RGPD, notamment une décision d’adéquation ou les clauses contractuelles types de la Commission européenne.

Le fait que les données principales soient stockées en France ne signifie donc pas qu’aucune opération technique ne puisse impliquer un prestataire international.

Les données sont conservées uniquement pendant la durée nécessaire à leur utilisation et au respect des obligations légales.

• Prospects et demandes commerciales : trois ans après le dernier contact.
• Comptes et données des projets : pendant la durée du contrat.
• Fin du contrat : les données restent disponibles pendant 30 jours afin de permettre leur export.
• Après ce délai : les documents, fichiers, comptes et données actives sont supprimés.
• Sauvegardes : les données disparaissent progressivement des sauvegardes selon les cycles techniques appliqués par le prestataire d’hébergement.
• Preuves contractuelles et éléments nécessaires à un litige : cinq ans après la fin de la relation contractuelle.
• Factures et pièces comptables : dix ans.
• Choix relatif aux cookies : six mois au maximum avant qu’un nouveau choix puisse être demandé.

L’historique des actions n’est pas modifiable depuis l’application. Les éléments nécessaires à la preuve d’une action peuvent être conservés pendant la durée applicable aux réclamations et litiges, même après la suppression du compte concerné.

FAPR met en œuvre des mesures adaptées à la nature des données et aux risques identifiés :

• communications chiffrées par TLS ;
• chiffrement des données stockées en AES-256 par l’infrastructure utilisée par Supabase ;
• règles de sécurité au niveau de la base de données, notamment par Row Level Security ;
• accès limités aux utilisateurs affectés au projet et selon les droits définis par son administrateur ;
• authentification par compte ou lien sécurisé envoyé à une adresse autorisée ;
• traçabilité des dépôts, renommages, changements d’indice, visas et modifications ;
• association des actions à un utilisateur et à son adresse électronique ;
• historique non modifiable depuis l’application, y compris par un super-administrateur ;
• mécanismes de sauvegarde et de redondance fournis par l’hébergeur.

Aucun système informatique ne permet toutefois de garantir un risque nul.

Selon la situation et la base légale du traitement, vous pouvez demander :

• • l’accès à vos données ;
• • leur rectification ;
• • leur effacement ;
• • la limitation de leur traitement ;
• • leur portabilité ;
• • votre opposition à certains traitements ;
• • le retrait de votre consentement.

Ces droits ne sont pas absolus. Certaines données peuvent être conservées lorsqu’une obligation légale, la sécurité du service ou la défense d’un droit en justice l’exige.

Vous pouvez adresser votre demande à contact@regis.build. Une preuve d’identité peut être demandée uniquement lorsqu’elle est nécessaire pour éviter qu’une personne non autorisée accède à vos données.

Lorsque FAPR agit comme sous-traitant d’une organisation cliente, la demande peut être transmise à cette organisation. FAPR l’assistera pour permettre le traitement de la demande.

Une réponse est apportée dans le délai prévu par la réglementation, généralement un mois.

Vous pouvez également déposer une réclamation auprès de la CNIL.

Le site peut utiliser des éléments strictement nécessaires à son fonctionnement et à la mémorisation des choix du visiteur.

Google Tag Manager est utilisé comme conteneur technique. Sa présence ne vaut pas consentement à l’utilisation de balises de mesure d’audience, publicitaires ou de suivi.

Les balises non essentielles ne sont chargées qu’après un choix positif. Le visiteur doit pouvoir :

• tout accepter ;
• tout refuser avec la même facilité ;
• modifier ou retirer son consentement à tout moment.

Le refus des traceurs non essentiels ne bloque pas l’accès au site.

Cette politique peut évoluer pour tenir compte des changements du service, des prestataires ou de la réglementation.

La date de dernière mise à jour est affichée en haut de la page. Toute modification importante concernant l’utilisation des données des clients pourra également être communiquée par un moyen adapté.