AccueilConfidentialité
Politique de confidentialité
IMOLYO — dernière mise à jour : 25 septembre 2026.
1. Ce qu’est IMOLYO
IMOLYO est une application (web et PWA) destinée aux agents et mandataires immobiliers. Elle permet, à partir d’une visite (photos, notes vocales, saisies), de structurer les informations d’un bien et de générer des contenus : fiche CRM, médias, annonce, publications sur les réseaux sociaux.
2. Données que nous traitons
- Compte & agence : nom, e-mail, mot de passe (haché par notre prestataire d’authentification), nom de l’agence, logo, coordonnées, identité réglementaire (raison sociale, SIREN/SIRET, carte professionnelle, garantie financière, médiateur, barème d’honoraires), préférences.
- Biens & visites : adresse et caractéristiques du bien, pièces, photos, enregistrements vocaux, notes et documents importés.
- Connexions réseaux sociaux : jetons d’accès OAuth, et les données de plateforme décrites au point 4. Nous ne demandons ni ne stockons vos mots de passe de réseaux sociaux.
- Journalisation : actions sensibles (connexion sociale, publication, suppression) à des fins de sécurité et de preuve.
3. Finalités et bases légales
Le traitement repose sur l’exécution du contrat qui nous lie à votre agence : structurer les données du bien, produire les contenus, et publier sur vos comptes sociaux uniquement après votre validation explicite. Aucune publication n’est effectuée silencieusement. La journalisation de sécurité repose sur notre intérêt légitime à protéger le service.
4. Données reçues des plateformes Meta
Lorsque vous connectez Facebook ou Instagram, nous recevons et conservons :
- votre identifiant applicatif chez la plateforme (propre à IMOLYO, ce n’est pas votre identifiant public) ;
- la liste des Pages Facebook que vous administrez (identifiant et nom), afin que vous puissiez choisir celle à connecter ;
- l’identifiant et le nom de la Page connectée, ou du compte Instagram professionnel connecté ;
- les jetons d’accès nécessaires à la publication, et l’identifiant des publications que nous créons pour vous.
Ces données servent exclusivement à publier ce que vous validez et à vous montrer où cela a été publié. Elles ne sont ni revendues, ni utilisées à des fins publicitaires, ni recoupées avec d’autres sources.
5. Sous-traitants et transferts hors Union européenne
Voici la liste exhaustive des prestataires qui traitent des données pour notre compte, et ce qui leur est transmis.
| Prestataire | Rôle et données transmises | Localisation et encadrement du transfert |
|---|---|---|
| Supabase Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513 |
Base de données, authentification et stockage des fichiers : l’ensemble des données de compte, de biens, photos et enregistrements. | Données hébergées dans l’Union européenne. L’entité contractante étant établie à Singapour, le transfert est encadré par les clauses contractuelles types de la Commission européenne. |
| Vercel Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis |
Hébergement et exécution de l’application, et mesure d’audience agrégée sans cookie (voir section 7). Traite les données en transit lors de vos requêtes. | Exécution des fonctions serveur dans l'Union européenne (région Paris). La société Vercel Inc. est établie aux États-Unis ; les transferts éventuels vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le EU-U.S. Data Privacy Framework. |
| OpenAI OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlande |
Transcription des notes vocales, structuration et rédaction des contenus, synthèse vocale. Reçoit les enregistrements vocaux et les textes du bien. | Contractant établi en Irlande. Les transferts vers ses entités hors EEE reposent sur les clauses contractuelles types (décision 2021/914) ou une décision d’adéquation, et sur le Data Privacy Framework lorsque la certification s’applique. |
| Cloudflare R2 Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, États-Unis |
Copie de sauvegarde des photos et enregistrements (originaux et versions dérivées). | Sauvegardes stockées dans une juridiction européenne (bucket R2 « UE »). La société Cloudflare, Inc. est établie aux États-Unis ; les transferts éventuels vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le EU-U.S. Data Privacy Framework. |
| HeiGIT — OpenRouteService api.heigit.org, Heidelberg, Allemagne |
Distances et temps de trajet vers les points d’intérêt. Reçoit uniquement des coordonnées géographiques — jamais l’adresse, ni le nom du bien, ni aucune donnée de compte. | Union européenne. Aucun transfert hors UE. |
| Overpass API (OpenStreetMap) overpass-api.de · overpass.private.coffee · overpass.kumi.systems |
Recherche des commerces, écoles et transports autour du bien. Reçoit uniquement des coordonnées géographiques. | Miroirs communautaires situés en Allemagne et en Autriche. Aucun transfert hors UE. |
| Meta Meta Platforms Ireland Limited |
Publication sur Facebook et Instagram : le texte et les visuels que vous avez validés, et rien d’autre. | Transmission effectuée à votre demande, pour exécuter la publication que vous déclenchez. |
| Stripe Stripe Payments Europe, Limited — Dublin, Irlande |
Traitement des paiements d’abonnement. Reçoit les données de facturation et de paiement : IMOLYO ne conserve jamais votre numéro de carte, manipulé exclusivement par Stripe. | Entité contractante établie dans l’Union européenne (Irlande). Stripe est certifiée PCI DSS niveau 1 et adhère au EU-U.S. Data Privacy Framework ; les transferts éventuels vers les États-Unis reposent sur ce cadre et sur les clauses contractuelles types. |
| Brevo Sendinblue SAS, 9-17 rue Salneuve, 75017 Paris, France — SIREN 498 019 298 |
Envoi des e-mails transactionnels (confirmations, notifications). Reçoit l’adresse e-mail du destinataire et le contenu du message transactionnel. | Union européenne — France. Les données sont hébergées dans l’UE. Aucun transfert hors UE pour ce service. |
| LinkedIn LinkedIn Ireland Unlimited Company — Dublin, Irlande |
Publication sur LinkedIn : le texte et les visuels que vous avez validés, et le jeton d’accès nécessaire à la publication. | Entité européenne (Irlande) ; infrastructure du groupe aux États-Unis. Transmission effectuée à votre demande. Transferts hors UE encadrés par le Data Privacy Framework et/ou les clauses contractuelles types. |
| TikTok TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, Irlande |
Publication de vidéos sur TikTok : la vidéo et les métadonnées que vous avez validées, et le jeton d’accès nécessaire. | Entité contractante européenne (Irlande) ; le traitement implique des transferts hors Union européenne. Transmission à votre demande. Transferts encadrés par les clauses contractuelles types. |
Les clés et secrets de ces services sont conservés côté serveur et ne sont jamais exposés dans l’application.
6. Isolation & sécurité
Les données de chaque agence sont strictement isolées par des règles d’accès appliquées au niveau de la base de données. Les fichiers (photos, logos, documents) sont stockés dans des espaces privés, accessibles uniquement par des liens signés à durée courte. Les jetons de réseaux sociaux vivent dans une table distincte, inaccessible aux rôles clients : ils ne transitent jamais par votre navigateur.
7. Stockage sur votre appareil
Mesure d’audience. Les pages publiques d’IMOLYO utilisent Vercel Web Analytics, une mesure d’audience opérée par notre hébergeur Vercel. Elle est conçue pour fonctionner sans cookie et sans identifiant publicitaire : elle compte les consultations de pages de façon agrégée, sans profilage ni suivi entre sites.
En dehors de cette mesure d’audience anonyme, IMOLYO n’utilise aucun cookie publicitaire ni aucun traceur de ciblage. Pour fonctionner hors connexion et éviter de recalculer ce que vous avez déjà validé, l’application conserve dans le stockage local de votre navigateur (IndexedDB) :
imolyoCache— les données de la visite en cours (bien, pièces, index des médias) ;imolyoPostPreview— les visuels du carrousel déjà composés, tant que leur contenu n’a pas changé.
Ces données restent sur votre appareil. Vider les données du site dans votre navigateur les supprime.
Si vous utilisez l’extension Chrome « IMOLYO — Connecteur CRM », celle-ci conserve dans le stockage local de votre navigateur le jeton de votre session et l’adresse e-mail de votre compte. Votre mot de passe n’y est jamais écrit. Voir la section 8.
8. L’extension Chrome « IMOLYO — Connecteur CRM »
L’extension relie votre compte IMOLYO au logiciel métier (CRM) de votre agence. Elle n’insère de code que sur les pages du logiciel métier pris en charge, et uniquement quand vous le lui demandez ; son panneau dialogue par ailleurs avec les serveurs d’IMOLYO et notre prestataire d’authentification, pour vous connecter et lire vos biens. Elle ne s’active sur aucun autre site. Elle est distribuée en accès non répertorié aux agences partenaires.
Ce qu’elle lit, et ce qui quitte réellement votre poste
Lorsque vous cliquez sur « Exporter vers IMOLYO », elle lit la fiche du bien que vous avez ouverte dans votre CRM, puis n’en transmet qu’une liste fermée de champs décrivant le bien : type, transaction, adresse du bien, surfaces, nombre de pièces, prix, diagnostics, équipements, descriptif commercial et photos.
Une fiche CRM affiche pourtant bien davantage. Tout le reste est écarté sur votre ordinateur et n’est jamais transmis : nom, téléphone et e-mail du vendeur, adresse personnelle du vendeur, notes internes de l’agence, prix net vendeur, estimations. Le filtre est une liste d’autorisation, non une liste d’exclusion : un champ que votre logiciel ajouterait dans une version future serait écarté par défaut, sans intervention de notre part. Un second filtre identique est appliqué à l’arrivée sur nos serveurs.
Elle ne lit rien d’autre, sur aucune autre page, à aucun autre moment.
Ce qu’elle écrit
Lorsque vous cliquez sur « Exporter vers le CRM », elle ouvre un formulaire de création dans votre logiciel et le préremplit avec les données du bien choisi dans IMOLYO. Elle n’enregistre jamais la fiche. Elle ne clique ni sur « Enregistrer », ni sur « Enregistrer et Fermer », ni sur « Mandat », ni sur « Diffusion », ni sur « Publier » : cette interdiction est vérifiée dans le code avant chaque clic. Vous relisez la fiche et vous l’enregistrez vous-même, ou vous l’abandonnez.
Vos photos
Au moment où vous lancez un export vers votre CRM, IMOLYO prépare les photos du bien et les télécharge sur votre ordinateur, prêtes à être déposées dans le diaporama de votre logiciel. L’archive est constituée dans votre navigateur et n’est envoyée nulle part ailleurs. L’extension ne dépose aucune photo dans votre CRM à votre place.
Ce qui est conservé sur votre appareil
Uniquement le jeton de votre session IMOLYO et l’adresse e-mail de votre compte, pour vous éviter de vous reconnecter à chaque usage. Votre mot de passe n’est jamais conservé : il sert une seule fois, pour obtenir ce jeton. Vous pouvez tout effacer en vous déconnectant depuis le panneau de l’extension.
Ce qu’elle ne fait pas
Aucune activité en arrière-plan : l’extension ne s’exécute qu’à votre clic. Aucune lecture de votre navigation, de vos autres onglets ou de votre historique. Aucune donnée n’est vendue, louée, ni transmise à des tiers à des fins publicitaires, ni utilisée à une fin étrangère à la fonction décrite ci-dessus.
9. Durées de conservation
- Compte et données d’agence : conservés tant que le compte est actif.
- Photos et enregistrements supprimés : placés dans une corbeille et restaurables pendant 30 jours, puis purgés automatiquement — y compris leurs copies de sauvegarde.
- Demande de suppression RGPD : purge immédiate, sans délai de corbeille.
- Suppression du compte : traitée sous 30 jours à compter de la demande.
- Journaux de sécurité (connexion sociale, publication, suppression) : conservés à des fins de sécurité et de preuve, dans un registre en écriture seule.
- Factures et pièces comptables : conservées 10 ans à compter de la clôture de l'exercice concerné, conformément à nos obligations comptables et fiscales.
10. Vos droits (RGPD)
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Pour les exercer : contact@imolyo.com. Vous pouvez également introduire une réclamation auprès de la CNIL.
11. Déconnexion des réseaux sociaux
Vous pouvez déconnecter un réseau à tout moment depuis IMOLYO (Agence → Réseaux → Déconnecter), ce qui supprime immédiatement le jeton correspondant. Vous pouvez aussi retirer l’accès directement depuis Facebook ou Instagram : la plateforme nous en informe et nous supprimons alors la connexion et son jeton. Le détail figure sur la page Suppression de données.