VraiPrixLE VRAI PRIX, PAS CELUI AFFICHÉ

Politique de confidentialité

Dernière mise à jour : 2026-09-13

1. Responsable du traitement

Le responsable du traitement des données personnelles est l'exploitant de l'entreprise individuelle vraiprix (RCS Lyon 109 502 781), dont les coordonnées figurent dans les Mentions légales.

2. Contact

Pour toute question relative à la protection des données ou à l'exercice de vos droits, vous pouvez écrire à contact@vraiprix.immo.

En l'absence de Délégué à la Protection des Données (DPO) désigné, cette adresse remplit l'obligation de communication prévue à l'article 13 du RGPD.

3. Catégories de données traitées (état actuel du service)

| Donnée | Provenance | Stockée ? | |---|---|---| | Requête d'adresse (BAN) | Saisie utilisateur | Cache RAM serveur (1 heure), puis purge automatique. Pas de persistance disque. | | Requête statistique (latitude, longitude, rayon, type de bien, période) | Saisie utilisateur + URL | Non : traitée en transit uniquement | | Données d'audience agrégées (pays, navigateur, page consultée) | Plausible Analytics | Oui : agrégats anonymisés, 24 mois (voir § 7) | | Identifiant de clic publicitaire OpenAI (oppref) + événements de parcours (page vue sur l'accueil et les pages légales, début d'achat, achat et son montant) | Pixel de mesure OpenAI, script chargé dans le navigateur ; l'identifiant n'existe que si le visiteur arrive depuis une annonce ChatGPT | Cookie de première partie __oppref déposé par le pixel dans le navigateur ; événements transmis à OpenAI (voir § 5 et § 6). Jamais stocké ni journalisé sur nos serveurs. |

3 bis. Traitements à venir (à partir de l'ouverture commerciale)

Les traitements suivants ne sont pas encore actifs dans la version actuelle du service. Ils seront documentés et activés conjointement avec l'ouverture commerciale.

| Donnée | Provenance | Stockée ? | |---|---|---| | Email + référence d'achat | Saisie utilisateur au moment de l'achat | Oui : 13 mois après expiration du code | | Données de paiement | Stripe | VraiPrix agit en responsable conjoint pour la transaction ; Stripe agit en sous-traitant pour le compte de VraiPrix et en responsable autonome pour ses obligations propres (KYC, lutte anti-blanchiment, lutte contre la fraude : articles spécifiques au PSP). | | Identifiant de campagne publicitaire (vp_ad) + paramètres utm_* | URL d'arrivée depuis une annonce | Oui : journal pseudonymisé côté serveur (hachage salé d'IP, agent utilisateur, étape du parcours), 13 mois. Aucun cookie, aucun stockage dans le navigateur. |

Test A/B des prix. L'éditeur peut, à des fins d'optimisation tarifaire, présenter à différents visiteurs des prix légèrement différents pour un même service. L'attribution d'un visiteur à un groupe de prix est déterministe et fondée sur un hachage HMAC-SHA256 de son adresse IP et de son agent utilisateur, sans cookie ni identifiant persistant. Les données conservées (hachage d'IP + chaîne user-agent + horodatage) sont pseudonymisées au sens du RGPD : elles ne permettent pas de ré-identifier directement un visiteur, mais leur combinaison pourrait théoriquement permettre une ré-identification probabiliste. Seules les statistiques agrégées (taux de conversion par variante) sont utilisées pour la prise de décision.

Mesure des campagnes publicitaires. Lorsqu'un visiteur arrive depuis une annonce payante, l'URL contient un identifiant de campagne propre à VraiPrix (vp_ad), qui désigne l'annonce et non la personne. Cet identifiant est conservé en mémoire du navigateur pendant la visite, sans cookie ni stockage local, et transmis à nos serveurs aux étapes clés du parcours (arrivée, recherche, achat) avec un hachage salé de l'adresse IP et l'agent utilisateur. Ces journaux, pseudonymisés au sens du RGPD, servent uniquement à mesurer l'efficacité de nos annonces et à répartir notre budget publicitaire. Nos serveurs ne lisent, ne conservent ni ne journalisent aucun identifiant de clic des régies publicitaires.

Pixel de mesure OpenAI. Un script de mesure fourni par OpenAI est chargé sur la page d'accueil et les pages légales. Lorsqu'un visiteur arrive depuis une annonce diffusée dans ChatGPT, l'URL contient un identifiant de clic opaque attribué par OpenAI (oppref) ; le pixel le lit et le dépose dans un cookie de première partie (__oppref) afin d'associer une éventuelle conversion (page vue, début d'achat, achat et son montant, sans email ni référence de paiement) à l'annonce d'origine. Ces événements sont transmis à OpenAI (voir § 5 et § 6) ; VraiPrix n'en reçoit que des statistiques agrégées par annonce. Les pages de résultats, dont l'URL contient la zone recherchée, ne sont jamais transmises au pixel. Vous pouvez vous opposer à cette mesure en supprimant ou en bloquant ce cookie (voir la Politique cookies).

4. Bases légales

  • Intérêt légitime : mesure d'audience anonymisée via Plausible Analytics (sans cookie ni identifiant utilisateur).
  • Intérêt légitime : mesure de l'efficacité de nos annonces ChatGPT via le pixel OpenAI (cookie __oppref, § 3), avec possibilité d'opposition par blocage ou suppression du cookie.
  • Exécution du contrat : achat et délivrance du code de partage (à partir de l'ouverture commerciale).
  • Obligation légale : conservation des pièces comptables (article L123-22 du Code de commerce, 10 ans).
  • Obligation légale (traitements autonomes du prestataire de paiement) : Stripe traite les données de paiement (transactions, IBAN, métadonnées d'identification) sous sa propre responsabilité au titre de ses obligations en matière de lutte contre le blanchiment d'argent et le financement du terrorisme (LCB-FT), de connaissance client (KYC) et de prévention de la fraude. Ces traitements relèvent de l'article 6 §1(c) du RGPD (obligation légale incombant au responsable). Une demande d'effacement adressée à VraiPrix n'éteint pas la conservation imposée à Stripe par ces réglementations.

5. Destinataires et sous-traitants

| Sous-traitant | Finalité | Localisation | |---|---|---| | OVH SAS | Hébergement | France | | Plausible Insights OÜ | Mesure d'audience | Allemagne (UE) | | Stripe Payments Europe Ltd | Paiement | Irlande (UE) | | OpenAI (régie publicitaire ChatGPT) | Mesure des campagnes publicitaires (pixel, § 3) | États-Unis (voir § 6) |

Aucune donnée n'est transmise à un tiers à des fins commerciales.

6. Transferts hors Union européenne

Le pixel de mesure publicitaire OpenAI (§ 3) transmet vers les États-Unis l'identifiant de clic oppref et les événements de parcours qui y sont associés. Ce transfert s'appuie sur les clauses contractuelles types (SCC) 2021/914 de la Commission européenne intégrées aux conditions publicitaires d'OpenAI et, le cas échéant, sur la certification d'OpenAI au EU-US Data Privacy Framework.

À partir de l'ouverture commerciale, Stripe peut router certaines opérations vers les États-Unis. Ces transferts s'appuient sur deux mécanismes complémentaires reconnus par la Commission européenne :

  • EU-US Data Privacy Framework (DPF) : Stripe Payments Europe Ltd est certifié au DPF, cadre adopté par décision d'adéquation de la Commission européenne du 10 juillet 2023.
  • Clauses contractuelles types (SCC) 2021/914 : appliquées en complément pour les flux non couverts par le DPF.

7. Durées de conservation

  • Requêtes BAN : 1 heure en cache RAM serveur, puis purge automatique. Aucune persistance.
  • Requêtes DVF : non conservées (traitement en transit).
  • Cookie __oppref (pixel OpenAI) : durée fixée par OpenAI, non documentée publiquement à la date de mise à jour ; supprimable à tout moment depuis le navigateur. Aucune copie côté VraiPrix.
  • Plausible (agrégats anonymisés) : 24 mois. Plausible ne propose pas de purge programmée automatique ; l'éditeur s'engage à effectuer une purge manuelle annuelle de tout agrégat dépassant cette durée.
  • Email et référence d'achat (à partir de l'ouverture commerciale) : 13 mois après l'expiration du code.
  • Pièces comptables : 10 ans (obligation Code de commerce, article L123-22).

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

  • Accès à vos données personnelles ;
  • Rectification des données inexactes ;
  • Effacement (« droit à l'oubli ») ;
  • Portabilité dans un format structuré ;
  • Limitation du traitement ;
  • Opposition à un traitement fondé sur l'intérêt légitime.

L'exercice de ces droits se fait par courrier électronique à l'adresse de contact ci-dessus. L'éditeur s'engage à répondre dans un délai d'un mois (article 12.3 du RGPD).

9. Réclamation auprès de la CNIL

Vous disposez du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr/fr/plaintes.

10. Sécurité

Les échanges entre votre navigateur et le service sont chiffrés en TLS. La seule donnée personnelle stockée côté serveur en version actuelle est le cache temporaire des requêtes d'adresse BAN (1 heure en RAM, sans persistance disque, voir § 3).

11. Mineurs

Le service est réservé aux personnes majeures, l'achat d'un code de partage étant soumis à la capacité juridique de contracter.

12. Décisions automatisées

Aucune décision automatisée au sens de l'article 22 du RGPD (produisant des effets juridiques ou affectant l'utilisateur de manière significative) n'est mise en œuvre par VraiPrix. Les médianes affichées sont des informations statistiques, non des décisions individuelles.