Politique de confidentialité

2. Aperçu des traitements

Le tableau suivant résume les principaux traitements, leurs finalités et la base juridique correspondante. Le détail figure dans les chapitres suivants.

3. Bases juridiques

Nous traitons des données à caractère personnel sur les bases juridiques suivantes : consentement (article 6 § 1 point a RGPD), exécution d’un contrat et mesures précontractuelles (article 6 § 1 point b RGPD), obligation légale (article 6 § 1 point c RGPD, par exemple les obligations de conservation en droit commercial et fiscal) ainsi que intérêts légitimes (article 6 § 1 point f RGPD).

Lorsque nous fondons le traitement sur des intérêts légitimes (article 6 § 1 point f RGPD), nous nommons l’intérêt concret dans le chapitre correspondant. Notre intérêt légitime réside en particulier dans une exploitation sûre, stable et exempte d’abus de l’application, dans la défense contre les attaques ainsi que dans le développement du service au regard des besoins réels. Lors de la mise en balance, vos intérêts dignes de protection ne prévalent pas, car nous utilisons les données exclusivement pour ces finalités étroitement délimitées et non à des fins de publicité ou de profilage étendu.

4. Hébergement et infrastructure

L’application web, nos propres services de traitement (notamment les services d’anonymisation, voir chapitre 6) ainsi que le stockage d’objets pour vos fichiers téléversés et ceux produits dans le cadre de l’analyse (photos, documents, modèles 3D de bâtiments) fonctionnent sur des serveurs de la Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne, dans des centres de données allemands. Un contrat de sous-traitance au sens de l’article 28 RGPD est conclu — voir chapitre 12.

La base de données et l’authentification sont exploitées par nos soins depuis le 02/09/2026 — sur un serveur qui nous est propre chez la Hetzner Online GmbH, le même prestataire que ci-dessus, en Allemagne (site de Falkenstein). Le logiciel utilisé (Supabase) y fonctionne sous notre propre responsabilité ; aucun prestataire contractant établi hors de l’Union européenne n’est donc plus impliqué dans l’exploitation courante de la base de données et de la connexion. Le contrat de sous-traitance au sens de l’article 28 RGPD conclu avec la Hetzner Online GmbH couvre également ce serveur — voir chapitre 12. Le support de données est chiffré ; la liaison vers celui-ci est chiffrée et, lorsqu’elle relie nos propres serveurs, passe par un tunnel privé. Seule l’interface de programmation sécurisée de notre service de base de données est accessible publiquement — c’est par elle que votre navigateur se connecte et récupère vos données ; chaque accès est lié à votre connexion, la base de données applique en outre des règles d’accès au niveau des lignes dont nous vérifions régulièrement l’exhaustivité, et nous limitons le nombre de tentatives de connexion par expéditeur. Un accès direct à la base de données depuis internet n’est pas possible. Le stock de données constitué jusqu’au déménagement chez le prestataire précédent (Supabase Pte. Ltd, siège à Singapour) a entre-temps été effacé.

Cette base de données fait l’objet de sauvegardes chiffrées mises à jour quotidiennement et conservées 28 jours. Elles sont conservées en deux endroits indépendants l’un de l’autre : chez notre hébergeur en Allemagne et — comme deuxième lieu de conservation, indépendant du prestataire — dans le stockage d’objets de Scaleway SAS à Paris, France (UE). La seconde copie sert uniquement à la subsistance de la sauvegarde en cas de défaillance du premier lieu ou de son prestataire ; un aperçu figure au chapitre 12.

5. Journaux de serveur et adresses IP

Lors de l’appel de l’application, des données de connexion techniquement nécessaires sont automatiquement traitées dans des journaux de serveur : adresse IP, date et heure de l’accès, ressource appelée, code de statut HTTP, volume de données transmis, URL de provenance (referrer) ainsi que le type de navigateur ou d’appareil utilisé (user agent).

Finalité : fourniture de l’application, garantie de la sécurité des systèmes, détection et défense contre les attaques et les abus ainsi que limitation de la fréquence des accès (rate limiting). La base juridique est notre intérêt légitime à une exploitation sûre et stable (article 6 § 1 point f RGPD) ; l’intérêt légitime consiste dans la défense contre les attaques et la prévention des abus. Ces données ne sont utilisées ni à des fins publicitaires ni de profilage. Les compteurs de limitation d’accès sont effacés après 24 heures au plus tard ; les journaux techniques d’accès sont effacés après sept jours au plus tard.

6. Collecte de données lors de l’utilisation de l’application web

a) Adresse du bâtiment

Pour réaliser l’analyse du bâtiment, vous saisissez l’adresse d’un bien. Celle-ci est traitée sur notre infrastructure en Allemagne et rattachée à votre compte utilisateur dans la base de données d’analyse. L’adresse est l’objet même du contrat d’analyse. La manière dont une adresse est convertie en coordonnées (géocodage) est décrite au chapitre 10.

Important : l’adresse complète n’est pas transmise au composant d’IA (voir chapitre 8). Pour la localisation spatiale, l’IA reçoit uniquement le code postal, la commune, le Land et le pays ; la rue et le numéro sont retirés avant chaque transmission à l’IA. Les coordonnées utilisées pour l’affichage cartographique font l’objet d’un traitement distinct (voir chapitre 11). Base juridique : exécution du contrat (article 6 § 1 point b RGPD).

b) Documents et photos téléversés

Vous pouvez téléverser, à titre facultatif, des documents (par exemple des annonces de vente, des diagnostics énergétiques, des plans) et des photos. Avant l’analyse par l’IA, tous les téléversements passent automatiquement par une chaîne de pseudonymisation et d’occultation à plusieurs niveaux : les visages et les personnes sont détectés et rendus méconnaissables, les plaques d’immatriculation, les plaques de sonnette, de boîte aux lettres et de porte sont occultées, les textes contenus dans les images sont lus par reconnaissance de caractères (OCR) et les passages à caractère personnel sont occultés, et les mentions à caractère personnel dans le texte des documents sont caviardées (reconnaissance de motifs ainsi qu’une reconnaissance de noms exploitée sur notre propre infrastructure). Des documents PDF téléversés, nous retirons les métadonnées du document (auteur, créateur, titre) avant l’enregistrement. Des photos, nous retirons les métadonnées de prise de vue (notamment position GPS, données de l’appareil, date de la prise de vue) avant qu’elles n’entrent dans l’exploitation ; le fichier original que vous avez téléversé est conservé inchangé jusqu’à l’expiration du délai indiqué au chapitre 15. Ce traitement a lieu intégralement sur nos serveurs en Allemagne.

Malgré ces mesures en profondeur, un risque résiduel de reconnaissance de personnes isolées ne peut être totalement exclu. Les contenus transmis à l’IA restent donc juridiquement des données à caractère personnel ; ils sont traités sur le fondement de l’exécution du contrat (article 6 § 1 point b RGPD) et dans le cadre de la sous-traitance (article 28 RGPD) — voir chapitre 8.

Votre concours & minimisation des données (article 5 § 1 point c RGPD) : dans la mesure du possible, ne téléversez pas de photos montrant des personnes reconnaissables, des plaques de sonnette, des boîtes aux lettres, des plaques de porte, des plaques d’immatriculation ou des reflets. Notre chaîne de traitement ne remplace pas le principe de minimisation. En téléversant, vous garantissez être en droit de faire traiter les contenus concernés (voir chapitre 9).

c) Compte utilisateur et connexion

Lors de l’inscription, nous traitons : votre adresse électronique, votre nom (facultatif) et un mot de passe choisi par vous (que nous stockons exclusivement sous forme d’empreinte cryptographique, jamais en clair). Nous ne proposons pas de connexion via des prestataires externes tels que Google, Microsoft ou Apple — aucune transmission de vos données de connexion à un fournisseur d’identité n’a donc lieu. Depuis le 02/09/2026, vos données de connexion sont traitées sur notre propre infrastructure exploitée en Allemagne (chapitres 4 et 12) ; depuis cette date, aucune nouvelle donnée de connexion n’est transférée vers un pays tiers. Le stock constitué jusque-là — y compris les données de connexion — chez le prestataire précédent de notre base de données (Supabase Pte. Ltd, siège à Singapour) a entre-temps été effacé. Base juridique : exécution du contrat (article 6 § 1 point b RGPD).

d) Liste d’attente / préinscription

Tant que briven n’est pas encore disponible de façon générale, vous pouvez vous inscrire sur une liste d’attente au moyen d’un formulaire, afin d’être averti du lancement. Nous traitons à cette occasion votre adresse électronique et — si vous avez saisi une adresse auparavant — facultativement l’adresse du bien indiquée, que nous conservons uniquement à titre de note pour votre notification (il n’y a à cette occasion ni géocodage ni analyse). Le traitement repose sur votre consentement (article 6 § 1 point a RGPD). Vous le donnez par l’inscription et le rendez effectif en cliquant sur le lien de confirmation figurant dans le courriel qui suit (double opt-in) ; sans ce clic, l’inscription est automatiquement rejetée — au plus tard après sept jours.

Nous enregistrons en outre depuis laquelle de nos pages vous êtes arrivé jusqu’à nous et — si vous étiez alors connecté — le rattachement à votre compte utilisateur.

Si vous vous inscrivez depuis l’une de nos pages non germanophones — comme cette page en français —, deux éléments s’ajoutent : la langue de votre inscription et le pays dont cette page concerne le lancement. Ces deux éléments découlent de la page que vous avez consultée ; aucun champ de saisie n’existe à cet effet. La langue détermine celle dans laquelle nous vous écrivons — y compris le lien de désinscription. Le pays nous indique quel lancement vous intéresse, afin que nous ne vous écrivions pas lors du lancement d’un autre pays. La base juridique de l’ensemble de ces éléments est le même consentement (article 6 § 1 point a RGPD) ; ils suivent le sort de votre inscription et sont effacés avec elle.

L’inscription sert uniquement à une notification unique lors du lancement ; aucune newsletter régulière n’y est associée. Vous pouvez retirer votre consentement à tout moment, avec effet pour l’avenir — par le lien de désinscription figurant dans nos courriels ou sans formalité par courriel à kontakt@briven.de; nous ne vous envoyons alors plus de notification et n’utilisons votre adresse à aucune autre fin, en particulier pas à des fins publicitaires. Après le retrait, nous effaçons immédiatement l’adresse du bien enregistrée dans votre inscription. Votre adresse électronique ne subsiste plus que trois ans dans notre registre de désinscription, aux seules fins de preuve (qu’un consentement existait et qu’il a été retiré, article 7 RGPD), puis elle est effacée. L’envoi de la notification de lancement passe par notre prestataire de messagerie Scaleway TEM (voir chapitre 12).

e) Formulaire de contact & demandes par courriel

Lorsque vous utilisez notre formulaire de contact ou nous écrivez par courriel, nous traitons les données que vous indiquez (nom, adresse électronique et votre message) afin de traiter votre demande et d’y répondre. La base juridique est — selon l’objet — la conclusion ou l’exécution d’un contrat (article 6 § 1 point b RGPD) ou notre intérêt légitime à répondre à votre demande (article 6 § 1 point f RGPD). Ces indications sont facultatives ; sans nom, adresse électronique et message, nous ne pouvons toutefois pas traiter votre demande.

L’acheminement du message du formulaire vers notre boîte aux lettres passe par notre prestataire de messagerie Scaleway TEM (voir chapitre 12). Nous conservons votre demande uniquement le temps nécessaire à son traitement et l’effaçons ensuite, sauf obligation légale de conservation contraire.

f) Demande Enterprise

Si vous utilisez notre formulaire Enterprise (pour les portefeuilles à partir de 100 biens), nous traitons, outre votre nom, votre adresse électronique et votre message facultatif, également votre entreprise et le nombre de biens de votre portefeuille, afin de qualifier votre demande commerciale et de vous proposer des conditions individuelles. La base juridique est la conclusion d’un contrat (article 6 § 1 point b RGPD) ou notre intérêt légitime à l’initiation d’une relation d’affaires (article 6 § 1 point f RGPD). La demande parvient à notre boîte commerciale interne, et non à celle du formulaire de contact général. L’envoi, la durée de conservation et le prestataire (Scaleway TEM) correspondent au point e).

7. Paiement et exécution du contrat

Le traitement des paiements est assuré par le prestataire de services de paiement Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Pays-Bas. Mollie traite vos données de paiement en tant que responsable de traitement autonome (article 4, point 7 RGPD), notamment aux fins de l’exécution du paiement, de la prévention de la fraude et du respect de ses propres obligations légales. Nous-mêmes ne conservons aucune donnée complète de carte ou de compte ; ne demeurent chez nous qu’une référence de paiement ou de client, le statut du paiement et — en cas d’abonnement — les données de gestion de l’abonnement (identifiant, statut, fin de la période).

Abonnements (paiement récurrent) : pour les formules mensuelles, vous donnez un mandat de paiement récurrent (en cas de prélèvement SEPA, un mandat SEPA) ; le prélèvement mensuel est ensuite effectué automatiquement via Mollie. Les données de mandat et de créancier se trouvent chez Mollie ; nous n’enregistrons pas votre IBAN. La base juridique des données contractuelles de l’abonnement est l’exécution du contrat (article 6 § 1 point b RGPD).

Prestataires propres au moyen de paiement : selon le moyen choisi (par exemple PayPal, Klarna, carte bancaire), d’autres prestataires peuvent intervenir, qui agissent en tant que responsables autonomes et procèdent le cas échéant à leur propre vérification d’identité ou de solvabilité (en particulier Klarna et PayPal). Les détails figurent dans les informations sur la protection des données du prestataire concerné ainsi que dans la politique de confidentialité de Mollie. Mollie a son siège dans l’Union européenne ; selon le moyen de paiement, des réseaux de paiement en aval (par exemple les systèmes de cartes) peuvent traiter des données également hors de l’Union (voir chapitre 14).

Confirmation de commande & facture : après la conclusion du contrat, vous recevez par courriel une confirmation sur un support durable (§ 312f BGB, le code civil allemand). L’établissement et l’archivage à valeur probante de votre facture sont assurés par notre prestataire comptable agissant comme sous-traitant (BuchhaltungsButler GmbH, serveurs en Allemagne — voir chapitre 12) ; sont transmises à cette occasion les données du destinataire de la facture (nom ou raison sociale, adresse, le cas échéant numéro de TVA), votre adresse électronique et le montant de la facture. Nous conservons les données de facturation et de comptabilité en raison d’obligations commerciales et fiscales (article 6 § 1 point c RGPD ; § 147 al. 3 AO, le code allemand des impôts, et § 257 al. 4 HGB, le code de commerce allemand). Les détails relatifs au contrat et au droit de rétractation figurent dans nos conditions générales (en allemand) et dans l’information sur le droit de rétractation (en allemand).

8. Analyse assistée par IA

L’analyse du bâtiment recourt à des modèles d’IA exploités sur une infrastructure de cloud européenne. Sont mis en œuvre — selon la disponibilité et pour assurer la continuité du service — les prestataires suivants (le choix concret peut varier) :

• OVHcloud (OVH SAS), France — UE
• Scaleway (Scaleway SAS), France — UE
• Mistral AI (Mistral AI SAS), Paris, France — UE

Sont transmis à l’IA : la localisation spatiale (uniquement code postal, commune, Land et pays — voir chapitre 6 a), les données géographiques et factuelles publiques (voir chapitre 10) ainsi que les documents et photos téléversés, exclusivement sous forme pseudonymisée et occultée (voir chapitre 6 b). Comme un risque résiduel de réidentification ne peut être totalement exclu, nous continuons de traiter ces données comme des données à caractère personnel. Base juridique : exécution du contrat (article 6 § 1 point b RGPD) en combinaison avec la sous-traitance (article 28 RGPD).

Les prestataires cités traitent les données sur instruction, en qualité de sous-traitants. Selon les stipulations contractuelles, les données transmises ne sont pas utilisées pour l’entraînement des modèles d’IA et ne sont pas conservées au-delà du traitement (zéro rétention). Les contrats de sous-traitance correspondants au titre de l’article 28 RGPD sont conclus avec l’ensemble des prestataires cités. L’engagement de zéro rétention repose selon le prestataire sur des fondements différents : pour l’un sur une stipulation contractuelle, pour un autre sur une politique de confidentialité publiée pour le service concerné et pour le troisième sur un réglage demandé spécifiquement pour notre compte et confirmé par le prestataire. Les trois justificatifs sont en notre possession ; nous les présentons sur demande. Un aperçu des destinataires figure au chapitre 12.

L’analyse par IA est établie de façon automatisée et sert exclusivement de base technique à votre décision. Elle a un caractère diagnostique, ne constitue pas un examen juridiquement contraignant et ne remplace pas un examen sur place par un professionnel. Sur la question de la décision automatisée, voir chapitre 18.

9. Données de personnes qui n’utilisent pas briven (article 14 RGPD)

Lors d’une analyse de bâtiment, nous traitons régulièrement aussi des données à caractère personnel de personnes qui n’utilisent pas elles-mêmes briven et qui n’ont pas connaissance de l’analyse. Ce chapitre s’adresse à vous si vous êtes l’une de ces personnes. Il est rédigé à dessein de manière à être compréhensible sans le reste du texte.

Qui est responsable de ce traitement. briven UG (haftungsbeschränkt), représentée par son gérant Ayosha Aghazadeh, Overbergstraße 87, 45663 Recklinghausen, Allemagne, courriel kontakt@briven.de. Nous n’avons pas encore désigné de délégué à la protection des données ; dès que ce sera fait, vous en trouverez les coordonnées au chapitre 1.

Quelles données sont concernées et d’où elles proviennent. D’une part, de documents que nos utilisatrices et utilisateurs téléversent : propriétaires et charges figurant dans des extraits du livre foncier, copropriétaires figurant dans des actes de division et des procès-verbaux d’assemblée, locataires figurant dans des baux et des décomptes de charges, entreprises artisanales figurant sur des factures, ainsi que des personnes, des plaques d’immatriculation et des plaques de sonnette, de boîte aux lettres ou de porte sur des photos. D’autre part, de sources publiques officielles que nous consultons nous-mêmes : les modèles 3D officiels de bâtiments, dont nous exploitons la géométrie des bâtiments voisins immédiatement contigus afin de détecter les murs mitoyens, ainsi que les photographies aériennes officielles, sur lesquelles des terrains voisins peuvent être représentés.

À quelles fins nous les traitons. Exclusivement pour réaliser l’évaluation technique de l’état du bâtiment commandée par notre utilisatrice ou notre utilisateur — et pour occulter au préalable les mentions à caractère personnel qui s’y trouvent. Nous n’exploitons pas ces données en tant que données personnelles, nous n’établissons pas de profils et nous ne les utilisons pas à des fins publicitaires. Le rapport final ne contient aucun nom de personne.

Ce que nous rapprochons — et ce que nous ne rapprochons pas. Pour l’évaluation, nous rapprochons des indications de plusieurs sources en une image du bâtiment : données cadastrales officielles, modèles 3D de bâtiments, photographies aériennes et documents téléversés par nos utilisatrices et utilisateurs. Ne sont rapprochées à cette occasion que des caractéristiques du bâtiment — année de construction, géométrie, matériaux, état. Les indications relatives à des personnes ne sont ni rapprochées, ni enrichies, ni rattachées à un individu ; elles sont occultées avant l’exploitation.

Sur quel fondement. Sur le fondement de nos intérêts légitimes et de ceux de nos utilisatrices et utilisateurs au titre de l’article 6 § 1 point f RGPD. L’intérêt consiste à pouvoir apprécier de manière fiable l’état technique d’un bâtiment avant une décision économique importante. Nous avons mis en balance les intérêts opposés des personnes concernées et documenté cette mise en balance ; nous vous en communiquons le résultat sur demande. Pour les personnes qui nous ont elles-mêmes remis leurs documents, l’exécution du contrat s’applique en outre (article 6 § 1 point b RGPD).

Comment nous protégeons vos données. Avant que les documents et photos téléversés ne soient transmis à nos prestataires d’IA, ils passent sur nos serveurs en Allemagne par une occultation à plusieurs niveaux : les visages, les personnes, les plaques d’immatriculation ainsi que les plaques de sonnette, de boîte aux lettres et de porte sont recouverts, les textes présents dans les images sont lus et les passages à caractère personnel occultés, les mentions à caractère personnel dans le texte des documents sont caviardées, et toutes les indications d’adresse sont retirées. Cette étape est impérative : si elle échoue, aucune analyse ne démarre. Une anonymisation complète ne peut être garantie techniquement ; nous continuons donc de traiter ces données comme des données à caractère personnel.

Nous traitons les photographies aériennes officielles autrement — et nous vous disons ouvertement pourquoi. Les photographies aériennes des services officiels du cadastre ne passent pas par cette occultation. Nous l’avons vérifié et mesuré : à la résolution au sol réelle d’environ douze centimètres par pixel, les personnes apparaissent sous la forme de trois à cinq pixels sans caractéristique reconnaissable ; lors de la mesure, la technique d’occultation n’a détecté aucune personne, mais a recouvert jusqu’à 13 pour cent de la surface de l’image, dont une fois un bâtiment d’habitation entier. Elle serait donc ici sans effet et en même temps dommageable. Nous limitons en revanche l’extrait d’image demandé à la parcelle à évaluer, de sorte que les terrains voisins restent autant que possible en dehors (principe de minimisation des données, article 5 § 1 point c RGPD).

Qui les reçoit. Nos sous-traitants, en particulier notre hébergeur en Allemagne et nos prestataires d’IA dans l’Union européenne. Ceux-ci traitent les données sur instruction, ne les utilisent pas pour entraîner leurs modèles et ne les conservent pas au-delà du traitement. Vous trouverez la liste complète et à jour sous briven.eu/subprozessoren (en allemand) et au chapitre 12.

Combien de temps nous les conservons. Les documents et photos susceptibles de contenir des indications vous concernant sont effacés 18 mois après la dernière utilisation de l’analyse correspondante. Ces 18 mois sont un délai d’inactivité, non une durée maximale de conservation : si l’analyse est utilisée à nouveau, le délai recommence. La durée totale de conservation d’un fichier dépend donc de la durée pendant laquelle l’analyse correspondante reste utilisée. L’effacement intervient plus tôt dès que l’analyse ou le compte de l’utilisatrice ou de l’utilisateur est supprimé — ce qui, en règle générale, survient nettement avant l’expiration du délai. Vous retrouvez la même indication dans le tableau du chapitre 15 ; les durées maximales pour toutes les autres catégories de données y figurent également. Dans le rapport final, nous ne reprenons les images que sous leur forme occultée, et nous n’exploitons pas les indications vous concernant en tant que données personnelles. Une anonymisation complète n’étant pas garantie techniquement, nous ne pouvons exclure qu’un rattachement indirect à une personne puisse être établi à partir du rapport.

Si vos données parviennent dans un pays tiers. Les documents et photos téléversés eux-mêmes sont conservés exclusivement en Allemagne (Hetzner, voir chapitre 4), la base de données est exploitée depuis le 02/09/2026 également sur nos propres serveurs en Allemagne, et l’exploitation par l’IA a lieu exclusivement à l’intérieur de l’Union européenne. Depuis le 02/09/2026, aucun nouveau transfert vers un pays tiers n’a donc lieu pour ces données. Auparavant, il en existait un, parce que le prestataire contractant de notre base de données avait son siège à Singapour — le traitement lui-même avait déjà lieu dans l’Union. Le stock de données constitué jusqu’au déménagement chez ce prestataire (Supabase Pte. Ltd, siège à Singapour) a entre-temps été effacé. Le relevé complet de tous les cas — y compris ceux qui ne concernent pas vos données — figure au chapitre 14.

Pourquoi nous ne vous informons pas individuellement. L’article 14 RGPD nous oblige en principe à vous informer lorsque nous obtenons des données vous concernant d’une autre source que vous-même. L’article 14 § 5 point b RGPD y apporte une exception sur laquelle nous nous fondons ici — pour deux raisons. S’agissant des personnes dont les indications figurent dans des documents téléversés ou sur des photos, nous ne connaissons pas votre identité et nous ne la recherchons pas délibérément : nous occultons ces indications au lieu de les exploiter. Vous informer supposerait de vous identifier d’abord — c’est-à-dire d’effectuer précisément le traitement que nous évitons. S’agissant de la propriétaire ou du propriétaire d’un bien examiné à la demande d’une personne intéressée par son acquisition, une information préalable compromettrait gravement la finalité du traitement, car une évaluation de l’état neutre et non influencée ne serait alors plus possible. Nous mettons en revanche cette information à votre disposition ici, publiquement et durablement.

Vos droits — même sans compte chez nous. Vous disposez des mêmes droits que nos utilisatrices et utilisateurs : accès (article 15), rectification (article 16), effacement (article 17), limitation (article 18) et opposition (article 21). Comme nous nous fondons sur des intérêts légitimes, vous pouvez vous opposer à tout moment au traitement pour des raisons tenant à votre situation particulière. Adressez-vous pour cela sans formalité à kontakt@briven.de; indiquez-nous l’adresse du bien, afin que nous puissions retrouver vos données. Nous répondons dans un délai d’un mois. Pour la protection de toutes les parties, nous pouvons demander des informations confirmant votre identité (article 12 § 6 RGPD). Vous pouvez en outre à tout moment introduire une réclamation auprès d’une autorité de contrôle de la protection des données — celle de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée (article 77 § 1 RGPD) ; en France, il s’agit de la Commission nationale de l’informatique et des libertés (CNIL). L’autorité compétente pour nous est la Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (l’autorité de contrôle du Land de Rhénanie-du-Nord–Westphalie), Kavalleriestraße 2–4, 40213 Düsseldorf (adresse postale : Postfach 20 04 44, 40102 Düsseldorf ; www.ldi.nrw.de). La même indication figure au chapitre 17.

10. Sources de données publiques

Pour l’analyse, nous consultons des données géographiques et factuelles accessibles au public, notamment : le cadastre officiel (ALKIS WFS), OpenStreetMap (licence ODbL, via une interface Overpass), les photographies aériennes officielles des services du cadastre des Länder (WMS), ainsi que les données relatives aux inondations, aux fortes pluies, au radon, aux séismes, au bruit, au patrimoine protégé et à l’activité minière, publiées par les organismes compétents. Ces consultations ont lieu sans exception depuis nos serveurs ; c’est la coordonnée du bâtiment qui y est transmise, non votre adresse IP.

Pour la conversion d’une adresse en coordonnées (géocodage), nous n’exploitons actuellement aucun service propre ; les services publics envisageables sont désactivés chez nous. Dès que nous mettrons un service de géocodage en service, nous l’indiquerons ici et dans l’aperçu des destinataires au chapitre 12 — c’est le seul endroit auquel l’adresse complète serait transmise.

Nous traitons les orthophotographies officielles à une résolution au sol d’environ 10 à 20 centimètres par pixel. Sur de telles prises de vue verticales, des personnes isolées peuvent être représentées comme des objets de quelques pixels ; les traits du visage et les plaques d’immatriculation n’y sont pas reconnaissables. Pour la transmission de ces images à nos sous-traitants d’IA s’appliquent les fondements et mesures de protection décrits au chapitre 8. La source de ces données est constituée par les organismes publics respectivement cités (article 14 § 2 point f RGPD).

11. Affichage cartographique

La carte aérienne de la vue d’analyse montre des orthophotographies numériques officielles des services du cadastre du Land concerné. C’est la même source d’images que celle dont procèdent l’exploitation et le rapport PDF.

Les tuiles cartographiques sont livrées par notre propre serveur. Votre navigateur n’établit à cette occasion aucune connexion avec les services géographiques des Länder ; votre adresse IP ne leur est pas transmise lors de la récupération des tuiles. Ne sont transmises que les coordonnées de l’extrait de carte affiché, et ce de notre serveur vers l’organisme public compétent en Allemagne — aucun rattachement à votre personne n’en résulte.

Aucun transfert vers un pays tiers n’a lieu pour l’affichage cartographique. Base juridique : exécution du contrat ou intérêt légitime à un affichage cartographique fonctionnel (article 6 § 1 points b ou f RGPD).

12. Destinataires et sous-traitants

Pour fournir la prestation, nous recourons à des sous-traitants (article 28 RGPD) et transmettons des données à d’autres destinataires, dont certains sont responsables de traitement autonomes. Une description détaillée des procédures figure dans notre registre interne des activités de traitement (article 30 RGPD), que nous mettons à la disposition de l’autorité de contrôle sur demande.

a) Sous-traitants (article 28 RGPD)

b) Responsables autonomes / autres destinataires

Catégories de destinataires : Prestataires d’hébergement et de services informatiques, prestataires de suivi des erreurs et de supervision, prestataires de services d’IA, prestataires de services de paiement, prestataires de comptabilité et de facturation, prestataires de messagerie électronique. Cette liste est mise à jour en cas de modification ; fait foi la liste publiée au moment considéré. Un aperçu d’ensemble compact est également disponible sous briven.eu/subprozessoren (en allemand).

13. Cookies et mesure d’audience

Nous utilisons des cookies techniquement nécessaires pour l’authentification (le cookie de session de notre propre service de connexion, cookies portant le préfixe sb-) ainsi qu’un cookie enregistrant votre préférence en matière de statistiques — en particulier une opposition à la mesure d’audience (briven_consent, durée d’un an, renouvelée à chaque visite afin que votre opposition n’expire pas silencieusement). Ces cookies sont nécessaires à la fourniture du service que vous avez expressément demandé ou à la mise en œuvre de votre décision en matière de protection des données et ne requièrent pas de consentement (§ 25 al. 2 n° 2 TDDDG, la loi allemande sur la protection des données dans les télécommunications et les services numériques).

Pour la mesure d’audience, nous utilisons Plausible Analytics sur notre propre infrastructure (auto-hébergé). Plausible fonctionne sans cookie, n’enregistre rien sur votre terminal et n’y lit rien activement ; un consentement au titre du § 25 TDDDG n’est donc pas nécessaire. Il n’y a ni empreinte numérique (fingerprinting), ni suivi entre appareils ou entre sites, ni transmission à des tiers. Ne sont collectées que des mesures agrégées (par exemple pages vues, source de provenance, région approximative) ; votre adresse IP n’est traitée qu’aux fins du comptage des visites uniques, au moyen d’un procédé non réversible changeant quotidiennement, et n’est pas conservée.

La base juridique est notre intérêt légitime à une analyse anonyme de l’audience et de l’utilisation en vue du développement du service au regard des besoins réels (article 6 § 1 point f RGPD) ; le traitement étant anonymisé et purement statistique, vos intérêts dignes de protection ne prévalent pas. Vous avez à tout moment le droit de vous opposer à ce traitement (article 21 RGPD) ; l’opposition prend effet immédiatement et pour l’avenir, la statistique n’étant alors plus chargée. Utilisez pour cela le lien « Paramètres des cookies » dans le pied de page ou directement ici : ouvrir les réglages des cookies.

Pour le suivi des erreurs et la supervision des performances (APM), nous utilisons AppSignal (AppSignal B.V., Pays-Bas). AppSignal ne dépose pas de cookies et n’accède pas aux informations présentes sur votre terminal ; un consentement au titre du § 25 TDDDG n’est donc pas nécessaire et l’utilisation est indépendante de votre décision relative aux cookies. Les données à caractère personnel traitées à cette occasion (notamment votre adresse IP) le sont sur le fondement de notre intérêt légitime à la stabilité technique et à la correction des erreurs de notre service (article 6 § 1 point f RGPD) ; le traitement a lieu pour la durée de notre relation contractuelle avec AppSignal ou selon les durées de conservation propres aux produits d’AppSignal. Pour plus de détails sur la sous-traitance et le siège, voir chapitre 12.

Aucun cookie de marketing ou de publicité n’est utilisé.

14. Transferts vers des pays tiers

Notre infrastructure de serveurs se trouve en Allemagne : la base de données, l’authentification et le stockage de vos fichiers fonctionnent sur des serveurs situés dans des centres de données allemands, et le traitement par l’IA a lieu à l’intérieur de l’Union européenne. Les sauvegardes chiffrées de la base de données sont en outre conservées dans un deuxième lieu, indépendant du prestataire, à Paris (France) — un destinataire situé dans l’Union (voir chapitre 4). Dans un cas, un transfert vers un pays tiers peut néanmoins avoir lieu — de manière permanente, parce que le traitement lui-même s’y déroule :

• Traitement des paiements (permanent) — selon le moyen de paiement, des réseaux de paiement en aval peuvent traiter des données hors de l’Union européenne (voir chapitre 7). Ces réseaux se situent derrière notre prestataire de services de paiement et en sont responsables de manière autonome ; ils ne comptent pas parmi nos sous-traitants.

Base de données et authentification : depuis le 02/09/2026, aucun transfert vers un pays tiers n’a plus lieu. Jusqu’au 02/09/2026, la base de données et l’authentification étaient fournies par Supabase Pte. Ltd, dont le siège est à Singapour ; le traitement avait certes déjà lieu à l’intérieur de l’Union, mais nous fondions le transfert, en raison du siège du prestataire contractant, sur les clauses contractuelles types (article 46 § 2 point c RGPD). Depuis le déménagement vers notre propre infrastructure chez un sous-traitant en Allemagne (chapitre 4), plus aucune donnée n’y a été ajoutée. Le stock constitué jusqu’au déménagement n’était conservé que comme voie de retour au cas où le déménagement devrait être annulé ; nous avons renoncé à cette voie de retour le 03/09/2026 et effacé le stock le même jour. Avec cet effacement, Supabase Pte. Ltd n’est plus destinataire de nos données, et les clauses contractuelles types relatives à ce stock sont devenues sans objet.

Si un destinataire devait à l’avenir être établi aux États-Unis, nous fonderions le transfert, destinataire par destinataire, sur une certification au titre du cadre de protection des données UE–États-Unis (décision d’adéquation de la Commission européenne) ou, en l’absence de certification, sur les clauses contractuelles types (article 46 § 2 point c RGPD), assorties de mesures complémentaires. Pour les destinataires situés dans d’autres pays tiers dépourvus de décision d’adéquation, nous fondons également le transfert sur les clauses contractuelles types (article 46 § 2 point c RGPD), assorties de mesures complémentaires. Nous vérifions et documentons le mécanisme concret pour chaque destinataire, ainsi que son statut de certification, dans notre registre interne des activités de traitement (article 30 RGPD). Vous pouvez demander une copie des garanties appropriées (par exemple des clauses contractuelles types) à kontakt@briven.de.

15. Durées de conservation

Nous ne conservons les données à caractère personnel que le temps nécessaire aux finalités concernées ou aussi longtemps que des obligations légales de conservation existent. Lorsqu’aucun délai fixe n’est indiqué ci-après, la durée se règle sur la finalité du traitement ; une fois la finalité disparue, les données sont effacées ou anonymisées.

Concernant le délai applicable à vos fichiers originaux : seuls les originaux téléversés sont effacés à son expiration. Votre rapport, les exploitations qui en sont issues et les versions occultées des images sont conservés — vous gardez donc votre résultat, tandis que disparaît le matériau brut susceptible de contenir des indications sur des personnes non concernées. Nous vous le signalons dans l’analyse dès que cela a eu lieu ; une nouvelle exploitation ne pourra alors plus tenir compte de ces documents.

En cas de suppression du compte, les données correspondantes sont effacées de la base de données active dans un délai de 30 jours, sauf obligation légale de conservation ou finalité probatoire ou de journalisation assortie d’un délai propre, indiquée dans le tableau. Une copie effacée peut en outre subsister jusqu’à 56 jours dans nos sauvegardes chiffrées de la base de données — 28 jours de conservation des sauvegardes, auxquels s’ajoutent jusqu’à 28 jours avant que le versionnage côté serveur du second lieu de conservation ne supprime définitivement les copies non actuelles — puis elle est définitivement effacée automatiquement ; cette période sert exclusivement à la restauration en cas d’incident et ne fait l’objet d’aucune recherche ni exploitation.

16. Vos droits

Vous disposez des droits suivants à l’égard de vos données à caractère personnel :

accès (article 15 RGPD), rectification (article 16 RGPD), effacement (article 17 RGPD), limitation du traitement (article 18 RGPD), portabilité des données (article 20 RGPD), opposition au traitement (article 21 RGPD) ainsi que retrait d’un consentement donné (article 7 § 3 RGPD) avec effet pour l’avenir.

Le droit à la portabilité des données (article 20 RGPD) porte sur les données que vous avez fournies (par exemple adresse, fichiers téléversés, données du compte), et non sur les résultats d’analyse que nous calculons (par exemple évaluations, estimations de coûts).

Droit d’opposition (article 21 RGPD) : dans la mesure où nous traitons des données sur le fondement d’intérêts légitimes (article 6 § 1 point f RGPD), vous avez le droit de vous opposer à tout moment à ce traitement pour des raisons tenant à votre situation particulière.

Pour exercer vos droits, adressez-vous à kontakt@briven.de. Nous répondons aux demandes sans délai, au plus tard dans un délai d’un mois à compter de leur réception ; en cas de complexité, ce délai peut être prolongé de deux mois supplémentaires (article 12 § 3 RGPD), ce dont nous vous informons. Pour la protection de vos données, nous pouvons demander des informations complémentaires confirmant votre identité (article 12 § 6 RGPD).

17. Droit de réclamation auprès d’une autorité de contrôle

Vous avez le droit d’introduire une réclamation relative au traitement de vos données à caractère personnel auprès d’une autorité de contrôle de la protection des données. L’autorité compétente pour nous (siège en Rhénanie-du-Nord–Westphalie) est :

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
(adresse postale : Postfach 20 04 44, 40102 Düsseldorf)
www.ldi.nrw.de

Vous pouvez en outre vous adresser à l’autorité de contrôle de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée (article 77 § 1 RGPD) ; en France, il s’agit de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (www.cnil.fr). Vous pouvez y déposer votre réclamation ; les autorités de contrôle coopèrent alors selon la procédure prévue par le RGPD, et l’autorité que vous avez saisie vous informe de l’état d’avancement et du résultat (article 77 § 2 RGPD).

18. Décision automatisée

L’objet de l’analyse par IA est l’évaluation technique d’un bâtiment, et non l’évaluation de votre personne ; aucune notation de personnes (par exemple quant à la solvabilité ou au comportement) n’a lieu. L’évaluation assistée par IA est certes établie de façon automatisée, mais elle sert exclusivement à éclairer votre décision technique ; l’appréciation et l’utilisation des résultats vous appartiennent. Sur demande, nous expliquons le fonctionnement de principe des modèles diagnostiques employés.

Deux processus que nous divulguons néanmoins. Si vous interrompez une analyse en cours, un processus automatisé décide si vous recevez un remboursement, un avoir ou aucun des deux. Sont déterminants à cette occasion exclusivement des paramètres techniques — l’état d’avancement du traitement au moment de l’interruption — ainsi que le nombre de telles interruptions au cours de 90 jours, nombre limité pour des raisons économiques. Aucune caractéristique de votre personne n’entre dans ces processus, aucun profil n’est créé, et aucune appréciation de votre comportement au-delà de cette finalité n’a lieu. Nous n’y voyons pas une décision au sens de l’article 22 § 1 RGPD ; si l’on devait en juger autrement, elle serait nécessaire à l’exécution du contrat (article 22 § 2 point a RGPD). Dans tous les cas : vous pouvez demander que chacune de ces décisions soit réexaminée par nos soins. Écrivez-nous, et une personne physique examinera le dossier.

19. Obligation de fournir des données et modifications de la présente politique

La fourniture de certaines données est nécessaire à l’exécution du contrat : sans l’adresse du bâtiment, l’analyse ne peut être réalisée ; sans données de compte et de paiement, le contrat ne peut être exécuté. Si vous ne fournissez pas ces données, le contrat ne peut être exécuté, ou ne peut l’être que partiellement. La fourniture d’autres indications (par exemple documents et photos supplémentaires) est facultative et ne fait qu’améliorer la portée de l’analyse.

Nous nous réservons d’adapter la présente politique de confidentialité afin qu’elle réponde à tout moment aux exigences juridiques en vigueur ou afin de tenir compte de modifications de nos prestations. Lors de votre prochaine visite s’applique alors la version en vigueur à ce moment.

À propos de cette version linguistique. La présente politique de confidentialité est la version française de notre Datenschutzerklärung en langue allemande. Les deux versions décrivent les mêmes traitements, les mêmes bases juridiques, les mêmes destinataires et les mêmes durées, et portent la même date de version. Ce que vous ne trouvez que dans cette version est d’ordre linguistique et ne change rien à vos droits ni à nos obligations : une brève explication des désignations légales allemandes, la mention nominative de la CNIL à côté du droit d’option de l’article 77 § 1 RGPD, et l’indication des pages qui n’existent qu’en allemand. Si vous constatez une divergence de fond, faites-le nous savoir à kontakt@briven.de.