Politique de confidentialité

Chez Paperless, nous attachons une grande importance à la protection de vos données personnelles.

Le but premier de Paperless est de fournir une application mobile d'assistance à la préparation et à la constitution de dossiers d'autorisations d'urbanisme (déclarations préalables de travaux), avec, en option, l'impression et l'envoi du dossier à la mairie par lettre recommandée. Grâce à une cartographie interactive et un algorithme de génération, Paperless simplifie l'administratif pour les particuliers et les professionnels qui réalisent leurs propres projets ; les professionnels du secteur (piscinistes, artisans) peuvent également recommander le service à leurs clients via le programme partenaires.

Paperless est amené à traiter et collecter certaines de vos données personnelles afin de mener à bien cette mission technique.

Lors de votre utilisation de l'application Paperless (ci-après l'« Application ») et du site mypaperless.fr (ci-après le « Site »), nous sommes amenés à traiter des données à caractère personnel vous concernant. La présente politique vous explique lesquelles, pourquoi, combien de temps, avec qui elles sont partagées et comment exercer vos droits, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 dite « Informatique et Libertés ».

1. Qui est responsable du traitement ?

Paperless SAS, société par actions simplifiée au capital de 2 €, dont le siège social est situé 115 route de Bouc-Bel-Air, Le Mas des Saules, 13080 Luynes, Aix-en-Provence, France, immatriculée au RCS d'Aix-en-Provence sous le numéro 131 567 307, représentée par Clément Blasquez (Président) et Téo Le Vern (Directeur Général), agit en qualité de responsable de traitement (ci-après « Nous »).

Paperless n'a pas désigné de délégué à la protection des données. Pour toute question, un point de contact unique est à votre disposition (voir la section « Point de contact RGPD »).

2. Quelles données personnelles traitons-nous ?

Nous traitons uniquement les données personnelles nécessaires au fonctionnement du service, à la génération de vos documents officiels (CERFA et plans) et à la sécurité. Nous ne vous demandons aucune donnée sensible (santé, opinions, etc.).

A. Données de votre compte

• Prénom, nom et adresse e-mail
• Identifiant de compte et mot de passe : le mot de passe est conservé sous forme hachée (transformé de manière irréversible) par notre prestataire d'authentification, nous n'y avons jamais accès en clair
• Si vous vous connectez avec Apple, Google ou Facebook : l'identifiant et les informations de profil que ce service nous transmet avec votre accord (généralement vos nom et adresse e-mail)
• Si vous activez la double authentification : la clé qui permet de vérifier les codes générés par votre application d'authentification (TOTP), conservée sous forme protégée
• Vos choix de consentement (finalités acceptées ou refusées, date et version du texte), que nous vous demandons de confirmer tous les six mois

B. Données de votre projet et de votre dossier d'urbanisme

Ces informations sont celles exigées par les formulaires CERFA et le Code de l'urbanisme :

• Identité du déclarant : nom, prénom, date et lieu de naissance ; ou, pour une personne morale, raison sociale, forme juridique, numéro SIRET, nom et prénom du représentant légal
• Coordonnées : adresse de résidence, téléphone, adresse e-mail. Votre numéro de téléphone n'est pas utilisé à des fins de prospection commerciale : le démarchage téléphonique d'un consommateur est interdit sans son consentement préalable (articles L. 223-1 et L. 223-2 du Code de la consommation)
• Identité des éventuels co-propriétaires du terrain que vous déclarez
• Terrain et projet : adresse postale, références cadastrales, surfaces, dimensions et caractéristiques de la piscine et des aménagements, implantation et plans
• Pour un bassin de forme sur-mesure : votre description, vos cotes, le devis ou le croquis que vous joignez le cas échéant, et le tracé réalisé par notre équipe
• Photographies du terrain et documents que vous téléversez (plans, notices, attestations), dont la photographie prise depuis la rue qui sert au photomontage d'insertion du projet (pièce DPC6) et le photomontage obtenu
• Votre signature manuscrite, tracée à l'écran, apposée sur le formulaire CERFA et, le cas échéant, sur le mandat d'expédition : seule l'image du tracé est conservée
• Les informations sur l'avancement de votre dossier que vous choisissez de déclarer après son dépôt (date de dépôt, réponse de la mairie, affichage sur le terrain)

Lorsque vous renseignez des informations concernant d'autres personnes (co-propriétaires, personnes visibles sur vos photographies), il vous appartient de les informer de ce traitement. Ces personnes disposent des mêmes droits que vous sur leurs données (section 8). Les informations prévues à l'article 14 du RGPD leur sont fournies par la présente politique, accessible publiquement : Paperless ne disposant en principe pas de leurs coordonnées, une information individuelle exigerait des efforts disproportionnés (article 14, paragraphe 5, b du RGPD).

C. Données de commande et de paiement

• Offre choisie, montant, date, factures et identifiant de transaction
• Code partenaire éventuellement utilisé (pour appliquer la remise)
• Pour le Pack Sérénité : adresse de la mairie destinataire, date d'envoi, numéro de suivi et avis de réception du recommandé
• Vos données de carte bancaire, ou celles de votre portefeuille Apple Pay ou Google Pay, sont saisies directement auprès de notre prestataire Stripe : Paperless n'y a jamais accès

D. Échanges avec nous

• Contenu de vos messages au support et de vos réclamations
• Demandes d'aide envoyées depuis le suivi de votre dossier (« J'ai un problème ») : motif, message et pièces jointes, par exemple le courrier de la mairie
• Adresse e-mail transmise pour être prévenu du lancement de Paperless
• Si vous demandez à devenir partenaire depuis le formulaire du Site : nom, prénom, nom de votre entreprise, numéro de téléphone, adresse e-mail et contenu de votre message

E. Données techniques

• Adresse IP, date et heure des connexions, journaux techniques des serveurs
• Identifiant aléatoire propre à chaque installation de l'Application, transmis à nos serveurs à chaque requête et utilisé pour la sécurité du service
• Modèle d'appareil, version du système d'exploitation et de l'Application
• Une copie locale de vos données, chiffrée, conservée sur votre appareil pour que l'Application fonctionne sans connexion ; elle est effacée après 90 jours sans utilisation de l'Application
• Si vous y consentez : rapports de plantage (Firebase Crashlytics), rattachés à l'identifiant de votre compte, et données d'utilisation de l'Application (Firebase Analytics), rattachées à un identifiant pseudonyme
• Si vous acceptez de recevoir des notifications : l'identifiant de notification de votre appareil

Sur le Site, seuls les journaux techniques de l'hébergeur et du service de protection du Site (dont l'adresse IP) sont traités : aucun cookie n'est déposé.

F. Partenaires professionnels

Pour les professionnels inscrits au programme partenaires : nom, prénom, raison sociale, numéro SIRET, coordonnées professionnelles, code partenaire, ainsi que les comptes de l'espace partenaire (identifiants des personnes habilitées, journaux de connexion).

Caractère obligatoire des données

Les champs obligatoires sont signalés dans l'Application. Sans ces informations, nous ne pouvons pas créer votre compte ni générer un dossier conforme aux exigences de l'administration. Les autres informations sont facultatives.

Mineurs

Le service est réservé aux personnes majeures disposant de la pleine capacité juridique (voir les CGUV). Il n'est pas destiné aux mineurs.

3. Sur quelles bases légales, pour quelles finalités et combien de temps conservons-nous vos données ?

Note : les coordonnées des partenaires professionnels ne sont utilisées que pour la gestion du programme partenaires. Les professionnels qui commandent pour leurs propres projets sont traités comme les autres utilisateurs.

E-mails et offres partenaires

Si vous l'acceptez, à la première ouverture de l'Application ou plus tard depuis [chemin dans l'Application, ex. Profil › Confidentialité], nous vous envoyons par e-mail les actualités de Paperless et des offres de nos partenaires (professionnels de la piscine et de l'aménagement extérieur) que nous sélectionnons. Ces e-mails sont envoyés par Paperless, par l'intermédiaire de son prestataire d'envoi : votre adresse e-mail n'est jamais communiquée aux partenaires, et aucun partenaire ne vous contacte directement de notre part. Vous pouvez retirer votre accord à tout moment, depuis le même réglage ou par le lien de désinscription présent dans chaque e-mail ; les e-mails de service (confirmation de commande, dossier prêt, réponse à une demande d'aide, avertissement avant suppression du compte) ne dépendent pas de ce choix.

Décisions automatisées

À partir de vos réponses, l'Application détermine automatiquement le type d'autorisation d'urbanisme applicable (déclaration préalable ou permis de construire), les pièces à produire et pré-remplit les formulaires. Il s'agit d'une aide : la décision d'autoriser ou non votre projet appartient exclusivement à l'administration. Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard au sens de l'article 22 du RGPD.

4. Qui sont les destinataires de vos données ?

Vos données ne sont jamais vendues. Elles ne sont communiquées qu'aux destinataires suivants, dans la limite de ce qui est nécessaire à chacun :

1. Le personnel habilité de Paperless SAS, soumis à une stricte obligation de confidentialité, y compris pour le tracé des bassins sur-mesure.
2. Nos sous-traitants techniques, qui agissent sur nos instructions et sont liés par un contrat conforme à l'article 28 du RGPD :

La synchronisation entre l'Application et nos serveurs repose sur le logiciel PowerSync, que nous hébergeons nous-mêmes sur l'infrastructure Microsoft Azure : aucune donnée n'est transmise à son éditeur.

3. Les services tiers qui agissent pour leur propre compte, selon leur propre politique de confidentialité :
   • Apple, Google ou Meta (Facebook), uniquement si vous choisissez de vous connecter avec leur service ;
   • Stripe, pour ses propres obligations de lutte contre la fraude et de conformité financière ;
   • les services publics de données géographiques (IGN — Géoplateforme, Base Adresse Nationale), interrogés pour rechercher l'adresse de votre terrain et afficher les cartes et le cadastre : ils reçoivent l'adresse ou la zone recherchée ainsi que l'adresse IP de votre appareil.
4. Si vous utilisez le code d'un partenaire professionnel : le partenaire voit le nombre de commandes payées avec son code, sans votre nom ni le détail de votre commande.
5. Les autorités administratives compétentes (mairies), uniquement par votre propre transmission ou par notre mandat d'envoi postal.
6. Les autorités judiciaires ou administratives, lorsque la loi nous y oblige.

5. Vos données sont-elles transférées hors de l'Union européenne ?

Vos bases de données principales et vos fichiers (dossiers PDF, photographies) sont stockés et chiffrés (AES-256 bits) dans l'Union européenne, sur l'infrastructure Microsoft Azure.

Certains prestataires peuvent toutefois traiter des données hors de l'Union européenne, notamment aux États-Unis :

• Google (Firebase) : le service d'authentification (adresse e-mail, identifiant de compte, adresse IP) fonctionne exclusivement depuis des centres de données situés aux États-Unis ; les rapports de plantage et les données de mesure d'audience peuvent être traités dans tout pays où Google dispose d'installations ;
• Cloudflare : l'adresse IP des visiteurs du Site peut être traitée dans ses centres de données hors de l'Union européenne ;
• Stripe, Apple et Meta, pour les services décrits à la section 4.

Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (Data Privacy Framework), pour les entreprises certifiées, et à défaut par les clauses contractuelles types adoptées par la Commission européenne. Vous pouvez obtenir une copie de ces garanties en nous écrivant.

6. Cookies et traceurs

Site : aucun cookie ni traceur n'est déposé.

Application :

• certains éléments sont strictement nécessaires à son fonctionnement et ne requièrent pas votre consentement : maintien de votre session, préférences, copie locale chiffrée de vos données, identifiant d'installation utilisé pour la sécurité du service ;
• les kits de développement Firebase Crashlytics (rapports de plantage) et Firebase Analytics (mesure d'audience) ne sont activés qu'avec votre consentement. Vous pouvez accepter ou refuser à la première ouverture de l'Application, et modifier votre choix à tout moment depuis [chemin dans l'Application, ex. Profil › Confidentialité]. Refuser n'a aucune incidence sur l'utilisation du service. Nous vous demandons de confirmer vos choix tous les six mois.

Nous n'utilisons aucun traceur à des fins publicitaires.

7. Comment vos données sont-elles protégées ?

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées aux risques : chiffrement des échanges (HTTPS/TLS), chiffrement des données stockées (AES-256) sur nos serveurs comme sur votre appareil, accès limité aux seules personnes habilitées, authentification sécurisée avec double authentification en option, journalisation et limitation du nombre de requêtes. Nous appliquons une procédure interne de gestion des violations de données : en cas de violation susceptible d'engendrer un risque pour vos droits, nous la notifions à la CNIL et, lorsque la loi l'exige, nous vous en informons (articles 33 et 34 du RGPD).

8. Quels sont vos droits sur vos données ?

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• droit d'accès à vos données et d'en obtenir une copie ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l'effacement de vos données ;
• droit à la limitation du traitement ;
• droit à la portabilité des données que vous nous avez fournies ;
• droit d'opposition aux traitements fondés sur notre intérêt légitime, pour des raisons tenant à votre situation particulière ;
• droit de retirer votre consentement à tout moment, sans remettre en cause la licéité des traitements effectués avant ce retrait ;
• droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour exercer ces droits gratuitement, écrivez-nous à : [email protected]
Ou par courrier à : Paperless SAS – Service RGPD, 115 route de Bouc-Bel-Air, Le Mas des Saules, 13080 Luynes, Aix-en-Provence, France.

Nous nous engageons à vous répondre dans un délai d'un (1) mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes ; nous vous en informerons alors. En cas de doute raisonnable sur votre identité, nous pourrons vous demander des informations complémentaires.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (www.cnil.fr).

Pour supprimer votre compte, consultez la page Suppression de compte.

9. Point de contact RGPD

E-mail unique de contact : [email protected]

10. Modifications

Nous pouvons modifier à tout moment la présente politique afin de nous conformer aux évolutions réglementaires, jurisprudentielles ou techniques. La date de dernière modification figure en haut de cette page. En cas de modification substantielle, nous vous en informerons par e-mail ou via une notification dans l'application Paperless.