Politique de confidentialité
Protection de vos données personnelles
Document en cours de finalisation, sans revue juridique. Le Service est en ligne ; CoLabFlow SASU est en cours d'immatriculation. La présente politique décrit le fonctionnement réel du Service à la date de sa version ; elle sera revue juridiquement.
Version 1.3 du 15/09/2026 · La présente politique explique quelles données personnelles sont traitées dans le cadre du service « Habitat Autonome » (site, application, espace client et Marketplace), pourquoi, pendant combien de temps, avec qui elles sont partagées, et quels sont vos droits. Elle est établie conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée. Voir aussi les Mentions légales.
1. Responsable de traitement
Le responsable de traitement est CoLabFlow (Société par actions simplifiée unipersonnelle, en cours d'immatriculation, siège : 1 rue Charlier, 51100 Reims, France, SIREN : XXXXXXXXXX (immatriculation en cours)). CoLabFlow conçoit le Service et héberge lui-même vos données, auprès de son prestataire OVH (article 5).
Contact pour toute question ou exercice de vos droits :
(CoLabFlow n'a pas désigné de délégué à la protection des données (DPO) : cette désignation n'est pas obligatoire au regard de l'article 37 du RGPD compte tenu de l'activité. Le point de contact ci-dessus traite les demandes relatives aux données.)
Précision Marketplace : lorsqu'un Annonceur reçoit vos coordonnées (par exemple parce que vous lui avez écrit, ou répondu à son message), il en devient le responsable de traitement distinct pour l'usage qu'il en fait. CoLabFlow reste responsable des traitements liés au fonctionnement de la plateforme.
2. Données collectées, finalités et bases légales
| Données | Finalité | Base légale (RGPD) |
|---|---|---|
| Compte client : adresse e-mail, mot de passe (conservé sous forme hachée, jamais en clair), dates de création, de dernière connexion, de fin d'essai et de confirmation de l'adresse, statut d'abonnement, date et version des CGU acceptées | Créer et gérer le compte, authentification, essai gratuit, support | Exécution du contrat (art. 6.1.b) |
| Profil (facultatif) : prénom, nom, e-mail, téléphone, adresse postale, saisis volontairement dans « Mon profil » | Les faire figurer dans votre dossier de projet imprimable | Exécution du contrat (art. 6.1.b) |
| Données de projet : tout ce que vous saisissez ou importez dans un projet (adresse et localisation du terrain, références cadastrales, plan-masse, programme, choix constructifs, budget, chantier, jardin), pièces jointes, et les informations que vous y notez sur des tiers (par exemple le contact d'un vendeur) | Fournir l'outil de conception, sauvegarder le projet et le retrouver sur vos appareils | Exécution du contrat (art. 6.1.b) |
| Notifications (si vous les activez) : adresse technique d'abonnement fournie par votre navigateur, préférences, position du terrain de votre projet Jardin | Vous prévenir d'une gelée annoncée sur votre terrain | Consentement (art. 6.1.a), retirable en désactivant les notifications |
| Compte annonceur : adresse e-mail, mot de passe (haché), nom d'entreprise (facultatif), déclaration d'assurance décennale et sa référence (facultatives), annonces (textes, photos, localisation, contact affiché, lien marchand) | Valider le compte, publier et modérer les annonces, fournir des statistiques à l'Annonceur | Exécution du contrat (art. 6.1.b) |
| Alertes et intérêts Marketplace (sans compte) : adresse e-mail, catégorie et département suivis, annonce concernée | Vous envoyer les nouvelles annonces ; signaler anonymement votre intérêt à un Annonceur | Consentement (art. 6.1.a), confirmé par un lien reçu par e-mail |
| Messages à un Annonceur : nom (facultatif), adresse e-mail, message ; métré transmis depuis l'Application : adresse e-mail du porteur de projet | Relayer votre message ou votre métré à l'Annonceur, puis sa réponse | Exécution de mesures précontractuelles à votre demande (art. 6.1.b) |
| Signalement d'annonce : motif, description, adresse e-mail (facultative) | Instruire les notifications de contenus illicites | Obligation légale (art. 6.1.c, LCEN) |
| Formulaire de contact du site : prénom, nom, e-mail, profil, société (facultative), message | Répondre à votre demande | Intérêt légitime (art. 6.1.f) |
| Journal de sécurité : adresse IP, action tentée (connexion, inscription, envoi d'un formulaire…), succès ou échec, identifiant du compte le cas échéant | Limiter les tentatives et les envois abusifs, enquêter sur un incident | Intérêt légitime (art. 6.1.f) |
Localisation du terrain : cette donnée peut permettre d'identifier ou de localiser une personne. Elle est traitée pour fournir le Service et transmise, lorsque vous utilisez les fonctions concernées, aux services publics de données listés à l'article 5. Elle n'est pas cédée, ni utilisée à des fins publicitaires.
Abonnement (à l'ouverture de la souscription) : les paiements seront traités par Stripe (Stripe Payments Europe, Limited, Irlande), qui reçoit l'adresse e-mail et les données de paiement ; CoLabFlow ne reçoit jamais les données de carte. Seront conservés sur le compte : l'identifiant client et d'abonnement Stripe, la formule, la date de fin de période, une éventuelle résiliation programmée et la date et la version des CGV acceptées. Base légale : exécution du contrat (art. 6.1.b) et obligations comptables (art. 6.1.c).
Ce que nous ne collectons pas : aucune donnée de paiement à ce jour (la souscription n'est pas encore ouverte), aucun suivi des clics sur les liens marchands, aucune mesure d'audience sans votre accord (article 6). Les statistiques remises aux Annonceurs (nombre de vues, d'imports et de contacts par annonce et par département) ne contiennent ni identité ni adresse IP.
Mineurs : le Service est réservé aux personnes majeures. Il ne collecte pas sciemment de données concernant des mineurs ; un compte créé par un mineur est supprimé dès que l'éditeur en a connaissance.
Nous ne réalisons pas de publicité comportementale et n'utilisons pas vos données à cette fin.
3. Origine des données
Les données proviennent de vous (compte, profil, projet, annonces, formulaires). Lorsque vous le demandez dans un projet, l'Application y ajoute des données publiques relatives à votre terrain (cadastre, zonage d'urbanisme, risques, climat, services à proximité), interrogées auprès des services listés à l'article 5. Vous êtes responsable de la licéité des données que vous saisissez ou importez, notamment celles qui concernent des tiers.
4. Durées de conservation
Le tableau indique ce que fait réellement le Service aujourd'hui. Lorsqu'aucune suppression automatique n'existe, il le dit.
| Catégorie | Durée |
|---|---|
| Compte client, profil, projets | Jusqu'à la suppression du compte, ou après 2 ans sans activité (connexion ou enregistrement), essai expiré compris. Un e-mail vous prévient 30 jours avant la suppression ; une simple connexion l'annule. Un compte dont l'adresse n'a jamais été confirmée est supprimé 7 jours après sa création. |
| Pièces jointes des projets | Jusqu'à la suppression du compte, qui les efface avec lui. |
| Abonnement aux notifications | Jusqu'à ce que vous les désactiviez ou supprimiez votre compte, ou que votre navigateur ne l'accepte plus. |
| Compte annonceur et annonces | Jusqu'à la suppression du compte annonceur, qui efface aussi ses annonces, leurs photos, et les intérêts et métrés reçus ; ou après 2 ans sans activité, avec un e-mail d'avertissement 30 jours avant. Un compte refusé est supprimé 30 jours après la décision ; une photo refusée, lors de la purge quotidienne qui suit. Une demande de compte restée sans décision est supprimée au bout de 30 jours, après en avoir informé le demandeur. Une annonce arrivée à sa date de fin est retirée de la Marketplace mais reste conservée dans l'espace de l'Annonceur. |
| Intérêt pour une annonce | Supprimé automatiquement 7 jours après sa confirmation, ou 7 jours après la demande s'il n'a pas été confirmé. |
| Alerte Marketplace | Jusqu'à votre désinscription (lien présent dans chaque e-mail). Une alerte non confirmée n'envoie rien et est supprimée au bout de 7 jours. |
| Messages à un Annonceur | Le message n'est pas enregistré par le Service : il est relayé par e-mail, puis conservé dans les messageries de l'Annonceur et de l'éditeur. |
| Métré transmis à un Annonceur | Le contenu du métré n'est pas enregistré. L'adresse e-mail du porteur, qui permet de relayer la réponse, est supprimée 3 mois après l'envoi ; passé ce délai, le professionnel ne peut plus répondre par le lien reçu. |
| Signalements d'annonces | Supprimés 1 an après leur réception. |
| Formulaire de contact du site | Non enregistré par le Service : transmis par e-mail et conservé dans la messagerie de l'éditeur. |
| Journal de sécurité (adresse IP) | Supprimé automatiquement au-delà de 30 jours. |
| Factures (à l'ouverture de la souscription) | 10 ans, au titre des obligations comptables (art. L123-22 du Code de commerce) ; elles sont émises et conservées par Stripe. |
| Sessions de connexion, liens de réinitialisation du mot de passe | Supprimés dès leur expiration. |
| Mesure d'audience (site et Marketplace, si vous l'acceptez) | Cookies _ga : 13 mois au plus dans votre navigateur, effacés dès le retrait de votre accord. Données détaillées de mesure : 14 mois au plus dans Google Analytics, puis supprimées automatiquement ; seules restent des statistiques agrégées, qui ne permettent pas de vous identifier. |
| Choix relatif aux cookies | Conservé 6 mois dans votre navigateur, puis redemandé ; vous pouvez le retirer à tout moment (voir Gestion des cookies). |
Vous pouvez à tout moment demander la suppression de vos données (article 7), sans attendre ces échéances.
5. Destinataires et sous-traitants
Vos données sont accessibles au personnel habilité de CoLabFlow. Elles sont communiquées aux destinataires suivants, et à eux seuls :
- OVH SAS (OVHcloud, France), sous-traitant : hébergement du site, de l'application, de la Marketplace, de la base de données et des pièces jointes, et envoi des e-mails du Service ;
- les Annonceurs, pour ce que vous choisissez de leur adresser : votre message et votre adresse e-mail lorsque vous leur écrivez ; votre métré, sans votre identité ; le seul nombre de personnes intéressées par une annonce, jamais leur identité ;
- les services publics de données interrogés depuis votre navigateur quand vous utilisez les fonctions correspondantes : Base Adresse Nationale (api-adresse.data.gouv.fr, recherche d'adresse), IGN (apicarto.ign.fr et data.geopf.fr : cadastre, zonage d'urbanisme, fonds de carte), Géorisques (georisques.gouv.fr : risques), Open-Meteo (open-meteo.com : climat) et OpenStreetMap (overpass-api.de : services à proximité). Ils reçoivent l'adresse recherchée ou la localisation du terrain, ainsi que votre adresse IP, et les traitent selon leurs propres conditions ; ce ne sont pas des sous-traitants de CoLabFlow. Pour l'alerte gel, le serveur du Service interroge Open-Meteo et, s'il ne répond pas, l'institut météorologique norvégien (api.met.no), avec une position arrondie, sans votre adresse IP ;
- Stripe (Stripe Payments Europe, Limited, Irlande), sous-traitant pour le paiement de l'abonnement, à l'ouverture de la souscription : il reçoit votre adresse e-mail et vos données de paiement ;
- Google (Google Ireland Limited, Irlande), sous-traitant pour la mesure d'audience du site et de la Marketplace, si vous l'acceptez : il reçoit les pages consultées, des informations techniques sur votre navigateur et un identifiant de mesure. Les données peuvent être transférées aux États-Unis, vers Google LLC, adhérente au cadre de protection des données UE–États-Unis ;
- le service de notification de votre navigateur (par exemple Google, Mozilla ou Apple, selon le navigateur), si vous activez les notifications : il reçoit l'adresse technique d'abonnement et le signal d'envoi ;
- les marchands, lorsque vous suivez un lien vers leur site depuis une annonce : ils traitent vos données selon leur propre politique dès que vous quittez le Service.
Les données sont hébergées en France. Les services de notification des navigateurs peuvent traiter les données qu'ils reçoivent hors de l'Union européenne, selon leurs propres garanties.
Aucune donnée n'est vendue à des tiers.
6. Cookies et stockage local
Le Service ne dépose aucun cookie sans votre accord. Il utilise le stockage local de votre navigateur, strictement nécessaire à son fonctionnement :
- votre connexion (jeton et informations de compte) : dans le stockage local sur le site et la Marketplace, dans la base locale du navigateur sur l'Application, où elle est gardée au plus 30 jours ;
- vos préférences d'affichage (dernier projet ouvert, panneaux repliés…) et votre choix relatif à la mesure d'audience ;
- sur l'Application, un service worker qui garde en cache les fichiers de l'application et reçoit les notifications que vous avez activées.
Sur le site et la Marketplace, une mesure d'audience Google Analytics est chargée seulement si vous l'acceptez dans le bandeau : cookies _ga déposés sur l'adresse visitée seulement, pour 13 mois au plus, sans signaux publicitaires, et effacés dès le retrait de votre accord. Base légale : votre consentement (art. 6.1.a). L'Application n'en porte pas. Aucun traceur publicitaire n'est utilisé. Voir la page Gestion des cookies.
7. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Accès (art. 15) ;
- Rectification (art. 16) ;
- Effacement (art. 17) ;
- Limitation du traitement (art. 18) ;
- Portabilité (art. 20) ;
- Opposition (art. 21), notamment aux traitements fondés sur l'intérêt légitime ;
- Retrait du consentement à tout moment, pour les traitements qui en dépendent ;
- droit de définir des directives relatives au sort de vos données après votre décès.
Depuis l'Application, vous pouvez modifier votre profil et vos projets, supprimer un projet, imprimer votre dossier de projet, désactiver les notifications et supprimer votre compte (« Mon profil », mot de passe demandé) : la suppression efface aussi vos pièces jointes, et les alertes, intérêts et métrés liés à votre adresse e-mail. Depuis l'espace annonceur (« Mon compte »), vous pouvez modifier et supprimer vos annonces, et supprimer votre compte. Aux deux endroits, « Télécharger mes données » fournit une copie de vos données dans un fichier JSON (portabilité).
Pour exercer vos droits, écrivez à . Une preuve d'identité peut être demandée en cas de doute. Nous répondons dans un délai d'un mois (prolongeable dans les conditions prévues par le RGPD).
En cas de difficulté, vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.
8. Sécurité
CoLabFlow met en œuvre les mesures suivantes : connexions chiffrées (HTTPS) ; mots de passe conservés sous forme hachée ; jetons de connexion de courte durée, renouvelés dans une session de 30 jours au plus ; limitation du nombre de tentatives de connexion et d'envois de formulaires par adresse IP ; journalisation des accès d'administration ; hébergement en France.
Les données ne sont pas chiffrées sur les serveurs. Une pièce jointe ne s'ouvre que par un lien signé, délivré à son propriétaire connecté et valable une heure (24 heures dans un export de données).
9. Modifications
La présente politique peut être mise à jour. La version applicable est celle publiée sur le service à la date de sa consultation ; les modifications substantielles feront l'objet d'une information.
CoLabFlow SASU, en cours d'immatriculation, 1 rue Charlier, 51100 Reims, France
Contact :