Politique de confidentialité

Champ de cette politique

Cette politique décrit les traitements RÉELLEMENT mis en œuvre par l’application Ketimi Estate (site public, compte utilisateur, espace professionnel). Elle est mise à jour à chaque évolution fonctionnelle qui modifie les données traitées.

Responsable de traitement

Le responsable de traitement est l’éditeur du site :

Responsable de traitement: À COMPLÉTER — raison sociale
Adresse: À COMPLÉTER — adresse du siège social
Contact: À COMPLÉTER — e-mail de contact
Contact RGPD / DPO: À COMPLÉTER — contact RGPD / DPO

Données collectées

Compte et authentification

Adresse e-mail (identifiant unique du compte).
Mot de passe de connexion — stocké exclusivement sous forme hachée, jamais en clair.
Code de connexion à usage unique (OTP) envoyé par e-mail, lorsque ce mode de connexion est proposé — stocké sous forme hachée, jamais en clair.
Métadonnées de session : identifiant de session, dates de création et d’expiration, adresse IP et agent utilisateur (navigateur) associés à la session.
Rôle applicatif (particulier, professionnel, administrateur) et date de finalisation de l’inscription.
Si la connexion Google est activée sur l’environnement : identifiant de compte Google, nom et adresse e-mail transmis par Google.

Usage du service (compte particulier)

Biens mis en favori.
Lignes de portefeuille saisies (biens détenus, montants).
Historique des biens consultés.
Messages échangés avec les professionnels via la messagerie interne (contenu, expéditeur, horodatage), y compris les demandes de visite.

Espace professionnel (agences)

Profil d’agence : nom, type, ville, téléphone, WhatsApp, e-mail, site web, adresse, présentation, réseaux sociaux.
Pièces justificatives de vérification (selon le pays : RCCM, DFE, attestation de régularité fiscale, NINEA, quitus fiscal), stockées dans un espace PRIVÉ et accessibles uniquement via des liens signés à durée limitée.
Annonces publiées et médias associés (photos), publics par nature.
Invitations de collaborateurs (adresse e-mail de l’invité) et rattachement des membres à l’agence.

Données techniques

Adresse IP utilisée pour la limitation de débit (protection anti-abus des points d’entrée publics et de l’envoi d’OTP) — conservée de façon éphémère en cache Redis, le temps de la fenêtre de limitation.
Journal d’audit des actions d’administration (suspension de compte, modération d’annonce, revue de document) : auteur, cible, motif, horodatage.
Statistiques de consultation des annonces : les vues et les clics de contact sont comptés après déduplication par une empreinte journalière anonymisée (code HMAC dérivé de l’adresse IP et du navigateur, avec une clé qui change chaque jour). L’adresse IP n’est ni stockée en clair ni recoupable d’un jour à l’autre ; aucun profil individuel n’est constitué.
Aucun traceur publicitaire, aucun outil de mesure d’audience tiers, aucun profilage marketing.

Finalités et bases légales

Finalité	Base légale
Créer et gérer le compte, authentifier l’utilisateur (mot de passe ou, lorsqu’il est proposé, code à usage unique envoyé par e-mail).	Exécution du contrat (CGU).
Fournir les fonctionnalités personnelles : favoris, portefeuille, historique.	Exécution du contrat.
Vérifier l’identité et la régularité des agences professionnelles (documents), attribuer le statut « Vérifiée ».	Exécution du contrat et intérêt légitime (confiance et lutte contre la fraude).
Assurer la sécurité du service : limitation de débit, journal d’audit, modération des annonces.	Intérêt légitime (sécurité et intégrité du service).
Mémoriser les préférences d’affichage (langue, thème, disposition).	Intérêt légitime (fonctionnement du service, aucun suivi).
Publier les annonces et vitrines d’agences sur le catalogue public.	Exécution du contrat conclu avec le professionnel.
Mesurer la consultation des annonces (vues, contacts) et fournir aux professionnels des statistiques agrégées sur leurs annonces.	Intérêt légitime (mesure d’usage interne, sans identification des visiteurs).
Acheminer les messages entre particuliers et professionnels (messagerie interne, demandes de visite) et les présenter aux deux parties.	Exécution du contrat (mise en relation).

Durées de conservation

Session de connexion : 7 jours glissants (l’expiration est repoussée à chaque jour d’activité) ; la déconnexion supprime immédiatement la session.
Code OTP : validité courte, invalidé après usage ; il n’est jamais conservé en clair.
Limitation de débit (adresse IP) : durée de la fenêtre de limitation, en cache éphémère.
Compte et données personnelles associées (favoris, portefeuille, historique) : pendant toute la durée d’utilisation du service, puis suppression ou anonymisation au plus tard 3 ans après la dernière activité du compte.
Documents de vérification des agences : pendant la durée de la relation avec l’agence, puis archivage limité aux obligations légales et comptables applicables (jusqu’à 10 ans selon la juridiction).
Journal d’audit des actions d’administration : 12 mois glissants, puis purge.

Destinataires et sous-traitants

Les données ne sont ni vendues, ni louées, ni transmises à des fins publicitaires. Elles sont accessibles aux personnes habilitées de l’éditeur et aux prestataires techniques strictement nécessaires au fonctionnement du service :

Hébergement de l’application : Vercel Inc.
Base de données PostgreSQL : Neon (base de données managée, opérée via l’intégration Vercel).
Stockage de fichiers (médias d’annonces et documents de vérification) : Supabase Storage auto-hébergé, sur une infrastructure située dans l’Union européenne.
Envoi des e-mails transactionnels : Resend.
Cache et limitation de débit : service Redis managé, fourni via l’intégration Redis de Vercel.
Fonds de carte : CARTO. L’affichage de la carte charge des tuiles depuis ce fournisseur, qui reçoit alors votre adresse IP et les coordonnées de la zone consultée.
Connexion Google (uniquement si elle est activée sur l’environnement) : Google.

Transferts hors Union européenne

L’hébergeur de l’application (Vercel Inc.) et certains prestataires techniques (Neon, Resend) sont des sociétés américaines : des données peuvent être traitées hors de l’Union européenne. Ces transferts sont encadrés par les garanties prévues au RGPD — clauses contractuelles types de la Commission européenne et/ou certification Data Privacy Framework du prestataire. Le stockage des fichiers (médias et documents) est opéré sur une infrastructure située dans l’Union européenne. L’affichage de la carte transmet votre adresse IP au fournisseur de tuiles CARTO.

Vos droits

Conformément au RGPD et aux réglementations UEMOA applicables, vous disposez des droits suivants :

Droit d’accès : obtenir la confirmation que des données vous concernant sont traitées et en obtenir copie.
Droit de rectification : corriger des données inexactes ou incomplètes.
Droit à l’effacement : demander la suppression de vos données, dans les limites des obligations légales de conservation.
Droit à la limitation du traitement.
Droit d’opposition, notamment aux traitements fondés sur l’intérêt légitime.
Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
Droit de définir des directives relatives au sort de vos données après votre décès.

Exercer vos droits

Toute demande peut être adressée au contact RGPD : À COMPLÉTER — contact RGPD / DPO

Vous pouvez introduire une réclamation auprès de l’autorité de contrôle compétente : la CNIL en France, la Commission de protection des données personnelles (CDP) au Sénégal, l’ARTCI en Côte d’Ivoire, ou l’autorité de votre pays de résidence.

Cookies et stockage local

Le site ne dépose AUCUN cookie publicitaire ni de mesure d’audience. Seuls les éléments strictement nécessaires au fonctionnement et à vos préférences sont utilisés :

Élément	Finalité	Type
`Cookie de session (Better Auth)`	Vous maintenir connecté ; cookie HTTPOnly, same-origin, non lisible par des scripts.	Cookie — strictement nécessaire
`ke-locale`	Mémoriser votre langue d’affichage (FR / EN).	Cookie — préférence
`ke-theme`	Mémoriser votre thème (clair / sombre / système).	Stockage local du navigateur
`ke:rail-collapsed, ke:carte-view`	Mémoriser la disposition de l’interface (barre latérale, mode carte ou grille).	Stockage local du navigateur
`ke-copilot-thread`	Conserver le fil de conversation du copilote dans votre navigateur.	Stockage local du navigateur

Sécurité

Transport chiffré (HTTPS) sur l’ensemble du site.
Cookie de session HTTPOnly ; mots de passe et codes OTP stockés exclusivement sous forme hachée, jamais en clair.
Contrôle d’accès appliqué côté serveur : chaque lecture de données personnelles est cantonnée à l’utilisateur ou à l’agence propriétaire.
Documents de vérification stockés dans un espace privé, exposés uniquement par liens signés à durée limitée.

Mineurs

Le service n’est pas destiné aux personnes n’ayant pas atteint l’âge minimum requis : 18 ans révolus.

Évolution de cette politique

Cette politique peut évoluer avec le service. Toute modification substantielle sera signalée sur cette page, avec mise à jour de la date figurant en tête de document.

Voir les mentions légales