Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement des données personnelles collectées via la plateforme MORYA (sites web, applications et extension Chrome) est :

Paul Fournier
Email : [email protected]

Exception : pour les données des voyageurs que les hôtes gèrent dans MORYA Stay, le responsable du traitement est l'hôte, et MORYA agit en qualité de sous-traitant. Voir l'annexe Voyageurs MORYA Stay.

2. Données collectées

2.1 Données d'authentification

Lors de la création de votre compte, nous collectons votre adresse email et un mot de passe (stocké sous forme hashée). Des jetons d'authentification JWT sont générés pour maintenir votre session. Un système d'authentification unique (SSO) vous permet d'accéder à l'ensemble des modules MORYA avec un seul compte.

2.2 Préférences utilisateur

Vos préférences de calcul (régime fiscal, paramètres de financement, options d'affichage) sont stockées afin de personnaliser vos analyses. Pour l'extension Chrome, ces données sont également stockées dans chrome.storage.sync. Ces données ne contiennent aucune information personnelle identifiante.

2.3 Données immobilières

Selon les modules utilisés, nous collectons et traitons différentes données immobilières :

• Invest : données publiques d'annonces immobilières (prix, surface, DPE, adresse, photos), données DVF (Demandes de Valeurs Foncières), analyses de rentabilité.
• Annonces importées par lien (Invest) : quand vous importez une annonce depuis son lien, nous lisons la page publique de cette annonce pour en extraire les caractéristiques (prix, surface, pièces, DPE, adresse, photos). Le chargement peut transiter par un intermédiaire technique qui ne reçoit que l'adresse publique de l'annonce ; si la page ne se lit pas directement, son texte peut être analysé par notre prestataire d'IA. La copie technique de la page est effacée au bout de 7 jours ; les caractéristiques retenues et les estimations calculées par nos modèles restent dans vos favoris jusqu'à ce que vous les supprimiez. Ces annonces restent privées : elles ne rejoignent jamais les annonces de MORYA.
• Home : photos de pièces téléchargées pour le home staging IA, préférences de style, recommandations d'ameublement générées.
• Pilot : données de patrimoine immobilier (biens, locataires, baux, quittances, documents, échéances, données financières et comptables).
• Radar : données de prospection off-market, signaux prédictifs, dossiers clients générés.
• Stay : logements, calendriers et réservations, et les données des voyageurs que l'hôte y gère pour son propre compte (voir l'annexe Voyageurs MORYA Stay). Les paiements des voyageurs sont encaissés par l'hôte sur son propre compte Stripe.

2.4 Journaux d'erreurs

Quand une erreur survient sur nos serveurs, son type, son message, le fichier en cause et l'adresse de la page sont transmis à notre outil de suivi des erreurs (Sentry, hébergé en Allemagne) pour que nous puissions la corriger. Votre identité, vos cookies et le contenu de vos requêtes en sont retirés avant l'envoi.

2.5 Caches éphémères

Les données de ville, DVF et géographiques sont mises en cache temporairement et automatiquement vidées à la fermeture de session.

2.6 Mesure d'audience sans cookie

Chaque page de nos sites envoie à nos serveurs un signal anonyme : l'adresse de la page (sans ses paramètres), celle de la page MORYA précédente, la source de la visite (le nom du site d'où vous venez, ou la campagne), le type d'appareil (mobile ou ordinateur) et quelques actions (clic vers l'inscription, formulaire d'inscription commencé ou envoyé). Pour relier les pages d'une même visite, notre serveur calcule à partir de votre adresse IP et de votre navigateur une empreinte valable une seule journée : elle est mélangée à un code secret tiré chaque jour et détruit sous 48 heures, si bien que personne, nous compris, ne peut la recalculer ni vous reconnaître le lendemain. Votre adresse IP n'est jamais enregistrée, et rien n'est relié à votre compte. Détails et opposition : section 9.

2.7 Étapes clés de votre compte

Pour comprendre où l'inscription et l'abonnement coincent, nous datons deux étapes de votre compte qui ne l'étaient pas : la vérification de votre adresse e-mail et l'ouverture d'une page de paiement. Elles s'ajoutent à ce que le service enregistre déjà (date d'inscription, fiches ouvertes, rendus générés, abonnement).

3. Finalités du traitement

• Analyse de rentabilité locative : calcul de rendements, cash-flows, fiscalité et enrichissement patrimonial pour les biens immobiliers.
• Home staging par intelligence artificielle : génération d'images meublées à partir de photos de pièces vides, avec recommandations d'achat de mobilier.
• Gestion de patrimoine immobilier : suivi des biens, locataires, baux, comptabilité et documents juridiques.
• Prospection immobilière professionnelle : identification d'opportunités off-market à partir de données publiques croisées.
• Agrégation de données de marché : constitution d'une base de données de prix et de transactions pour fournir des analyses comparatives.
• Amélioration du service : analyse des erreurs et, si vous l'acceptez, mesure d'audience, pour améliorer la plateforme.
• Mesure d'audience anonyme : des totaux de visites par page, sans cookie ni identifiant, pour savoir quelles pages sont utiles et où les visiteurs s'arrêtent.

4. Base légale

• Consentement (article 6.1.a du RGPD) : uniquement pour la mesure d'audience (PostHog) et la mesure de nos campagnes publicitaires (Google Ads, Meta, TikTok, OpenAI), recueilli par le bandeau affiché à votre première visite, séparément pour les statistiques de visite, la relecture de session et la publicité. Vous pouvez le retirer à tout moment, aussi simplement que vous l'avez donné ; le retrait ne remet pas en cause ce qui a été mesuré auparavant.
• Exécution du contrat (article 6.1.b du RGPD) : la création et la gestion de votre compte, et la fourniture des services auxquels vous avez souscrit.
• Obligation légale (article 6.1.c du RGPD) : la facturation et la conservation des pièces comptables.
• Intérêt légitime (article 6.1.f du RGPD) : la sécurité de la plateforme, la prévention de la fraude et des abus, et le suivi des erreurs techniques.
• Intérêt légitime (article 6.1.f du RGPD), sans consentement : la mesure d'audience sans cookie (section 9), exemptée de consentement par la CNIL, à laquelle vous pouvez vous opposer, et la datation des étapes clés de votre compte.

5. Destinataires de vos données

Nous ne vendons pas vos données. Elles ne sont transmises qu'aux prestataires strictement nécessaires au fonctionnement du service, listés ci-dessous ; chacun agit comme sous-traitant, sur nos instructions et pour la seule finalité indiquée. Seule exception, et seulement si vous acceptez la catégorie « Publicité » : Google, Meta, TikTok et OpenAI, pour mesurer nos campagnes publicitaires, qui reçoivent ces données chacun en tant que responsable de traitement distinct.

5.1 Transferts hors de l'Union européenne

Les fonctions d'intelligence artificielle de MORYA s'appuient sur trois prestataires spécialisés : Mistral AI (France), OpenAI et Anthropic (États-Unis). Les contenus que vous leur soumettez — vos questions et les données de l'écran — leur sont transmis le temps du traitement, puis le résultat vous est restitué.

Les rendus de MORYA Home sont produits par OpenAI. Pour Morya Intelligence, l'application iOS vous demande votre accord avant le premier envoi ; vous pouvez le retirer à tout moment dans Compte → Intelligence et IA.

Ces transferts reposent sur les clauses contractuelles types de la Commission européenne, complétées le cas échéant par l'adhésion du prestataire au EU-US Data Privacy Framework. Nous exigeons contractuellement que les contenus transmis ne servent pas à entraîner leurs modèles.

Tous les autres traitements — votre compte, vos données de projet, vos paiements — restent dans l'Union européenne. Si vous ne souhaitez aucun transfert hors de l'Union, n'utilisez pas les fonctions d'intelligence artificielle : le reste de la plateforme fonctionne sans elles.

6. Durée de conservation

Un seul essai gratuit est accordé par personne et par module, et une même carte bancaire ne peut en ouvrir qu'un par module : si elle a déjà servi à un essai MORYA, l'abonnement démarre immédiatement, sans période d'essai. Pour éviter qu'il soit obtenu plusieurs fois, nous conservons après la suppression de votre compte une empreinte irréversible (qui ne permet pas de retrouver la donnée en clair) de votre adresse e-mail et, le cas échéant, de la carte bancaire utilisée, associée au module concerné, pendant trois ans au plus. Base légale : notre intérêt légitime à prévenir la fraude.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données.
• Droit à la portabilité : recevoir vos données dans un format structuré.
• Droit d'opposition : vous opposer au traitement de vos données.
• Droit à la limitation : demander la limitation du traitement.
• Retrait du consentement : retirer à tout moment votre accord à la mesure d'audience, sans remettre en cause ce qui a été fait avant.

Pour exercer ces droits, contactez-nous à [email protected]. Nous nous engageons à répondre dans un délai de 30 jours.

8. Sécurité des données

Nous mettons en œuvre les mesures techniques suivantes pour protéger vos données :

• Chiffrement en transit : toutes les communications sont effectuées via HTTPS (TLS 1.2+).
• Authentification sécurisée : les mots de passe sont hashés (bcrypt) et l'authentification utilise des jetons JWT à durée limitée.
• Authentification unique (SSO) : un système centralisé permet de naviguer entre les modules sans ressaisir vos identifiants, tout en maintenant la sécurité des sessions.
• Aucun mot de passe stocké en clair : ni sur le serveur, ni dans l'extension, ni dans les applications.

10. Réclamation

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), autorité de contrôle française en matière de protection des données.

CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Tel : 01 53 73 22 22 — www.cnil.fr

11. Modifications de cette politique

Nous nous réservons le droit de modifier cette politique de confidentialité à tout moment. En cas de modification substantielle, nous vous en informerons par email ou via une notification dans l'application. La date de dernière mise à jour est indiquée en haut de cette page.

Annexe — Coordonnées d'entreprises affichées dans MORYA Radar

Cette annexe informe les personnes qui ne sont pas utilisatrices de MORYA mais dont les coordonnées professionnelles peuvent apparaître dans MORYA Radar (article 14 du RGPD). Le responsable du traitement est celui indiqué à l'article 1.

• Données : adresses e-mail et numéros de téléphone publiés sur les sites web d'entreprises, rattachés au numéro SIREN que ces sites impriment. Certaines adresses désignent une personne (prénom.nom@…) : ce sont des données personnelles.
• Source : des pages web publiquement accessibles, lues par notre robot ou dans les archives publiques du web Common Crawl. Chaque valeur est conservée avec l'adresse de la page où elle figure, un court extrait et la date de lecture.
• Finalité : la mise en relation professionnelle — permettre aux abonnés de Radar de savoir comment joindre une société dans le cadre de la prospection immobilière.
• Base légale : l'intérêt légitime (article 6.1.f du RGPD), limité à des coordonnées que l'entreprise a elle-même rendues publiques sur son site.
• Destinataires : les utilisateurs abonnés à MORYA Radar, qui les consultent dans l'application avec leur source. MORYA n'envoie aucun message à ces adresses et n'en génère aucune.
• Durée : les relevés (valeur, page source, extrait, date) sont supprimés automatiquement 36 mois après leur lecture.

Opposition : vous pouvez vous opposer à l'affichage de votre e-mail ou de votre téléphone, sans créer de compte, via le formulaire d'opposition. La demande est traitée dans un délai d'un mois au plus.

Pour toute autre demande (accès, rectification, effacement), écrivez à [email protected].