Politique de confidentialité

L'éditeur n'a pas désigné de DPO. Demandes directement au responsable du traitement.

2.1 Lors de l'inscription au compte professionnel

2.2 Lors de l'utilisation du Site

• Demande de devis : contenu (matière, dimensions, finitions, découpes), commentaire, référence DV-AAAAMMJJ-XXXXX
• Demande de contact : nom, courriel, message, pièces jointes
• Connexion : date/heure, adresse IP (logs serveur), agent utilisateur
• Statut du compte : PENDING / ACTIVE / REJECTED / SUSPENDED

2.3 Données non collectées

• aucune donnée sensible (art. 9 RGPD) ;
• aucune donnée bancaire ou de carte de paiement ;
• aucune donnée relative à des mineurs.

Les sections précédentes décrivent le site archstone-italia.com. Celle-ci décrit Le Commis, le configurateur de devis qu'Archstone Italia loue à des marchands et qui s'affiche sur leurs sites. Les données dont il est question ici ne sont donc pas celles de nos visiteurs : ce sont celles des clients de nos marchands.

3.1 Qui décide, et qui exécute

Le marchand est responsable du traitement : c'est lui qui choisit de poser le configurateur sur son site, lui qui définit son catalogue et ses prix, lui qui reçoit les demandes et répond à ses clients. Archstone Italia est sous-traitant au sens de l'article 28 du RGPD : nous hébergeons l'outil et traitons ces données sur ses instructions, pour lui fournir le service, et pour rien d'autre.

Concrètement : nous ne réutilisons jamais le fichier client d'un marchand — ni pour le prospecter, ni pour l'analyser, ni pour le recouper avec celui d'un autre marchand. Un marchand ne voit jamais les données d'un autre.

3.2 Ce que le configurateur enregistre

Aucun traceur, aucune mesure d'audience, aucun pixel publicitaire n'est posé par le configurateur sur le site du marchand. Les seuls cookies employés sont techniques : ils ouvrent une session à un marchand qui se connecte à son espace.

3.3 Ce qui sort, et vers qui

Rien d'autre ne sort. Nous ne vendons aucune donnée et ne la partageons avec aucun annonceur.

Où ces données sont-elles réellement traitées ? En Europe, de bout en bout : elles arrivent à Paris (cdg1), y sont traitées, et reposent en Irlande. Aucune donnée personnelle du configurateur ne quitte l'Union européenne.

Ce n'était pas vrai jusqu'au 8 septembre 2026 : les traitements s'exécutaient à Washington (iad1), et chaque formulaire traversait les États-Unis avant d'être enregistré en Irlande. La région a été déplacée ce jour-là, et cette page le dit plutôt que de faire comme si cela avait toujours été le cas.

Une nuance que nous ne masquons pas : le lieu du traitement est européen, mais les sociétés qui fournissent ces services — Vercel, Supabase, Cloudflare — sont de droit américain. Aucun réglage technique ne change cela ; ce sont les Clauses Contractuelles Types (décision UE 2021/914) et le EU-US Data Privacy Framework qui l'encadrent, comme détaillé à la section 6.

3.5 Combien de temps

Une demande de devis et le dessin qui l'accompagne sont effacés trois ans après leur dépôt. C'est la durée que la CNIL retient pour les données de prospection, et une tâche quotidienne l'applique : la suppression n'attend aucune intervention, ni du marchand, ni de nous.

Cette page a annoncé jusqu'au 8 septembre 2026 qu'« il n'existe aujourd'hui aucune suppression automatique après un délai fixe », au motif que les demandes sont les pièces d'affaire du marchand et que lui seul peut juger quand elles ne servent plus. C'était exact, et c'était le défaut : une donnée personnelle sans terme n'est pas conservée, elle est oubliée. L'article 5.1.e du RGPD veut une durée ; il y en a une.

Deux horloges, et la plus courte l'emporte toujours. Les trois ans ci-dessus courent tant que le marchand est client. Sa fermeture de compte les interrompt : passé les délais de départ — 15 jours pour un compte d'essai, 30 pour un ancien abonné —, tout part, y compris les demandes qui n'avaient pas trois ans. Une demande ne survit donc jamais au compte qui l'a reçue.

Ce qui est effacé plus tôt : les empreintes techniques du freinage anti-abus, au bout de vingt-quatre heures. Cette durée n'est pas un réglage à part — elle EST la plus longue fenêtre du freinage, pour qu'élargir la fenêtre allonge la conservation et jamais l'inverse. Cette page a annoncé « quelques jours » jusqu'au 8 septembre 2026 : c'était plus long que la réalité, et une politique qui se noircit se relit aussi mal qu'une politique qui s'embellit.

Lorsqu'un marchand ferme son compte, ses données et celles de ses clients sont supprimées ou anonymisées après un préavis, et il reçoit au préalable une archive complète de son travail.

3.6 Sur quelle base, et pourquoi on ne demande pas de consentement

Une personne qui remplit le configurateur demande un devis. Ses coordonnées sont donc traitées au titre des mesures précontractuelles (art. 6.1.b RGPD) : elles servent à lui répondre, et à rien d'autre. Le freinage anti-abus, lui, relève de l'intérêt légitime (art. 6.1.f).

Aucun consentement n'est demandé, et c'est délibéré. Un consentement qu'on ne peut pas refuser sans perdre le service n'est pas libre, donc n'est pas valable : le réclamer donnerait l'apparence d'un choix là où il n'y en a pas. La base juridique est celle du contrat demandé, et elle est écrite ici plutôt que déguisée en case à cocher.

Aucun usage publicitaire. L'adresse sert à transmettre la demande au marchand et à lui permettre d'y répondre. Elle n'est jamais revendue, jamais versée à une lettre d'information, jamais enrichie auprès d'un tiers, et jamais utilisée pour un autre marchand que celui dont le configurateur a été rempli.

Qui informe la personne, et quand. Le marchand est responsable du traitement : c'est à lui d'afficher l'information au moment de la collecte. Le configurateur porte cette mention dans son formulaire et renvoie à la présente section, pour qu'un marchand qui l'oublierait ne laisse pas son client sans rien.

3.7 Décision automatisée et profilage

Aucun profilage, aucun score, aucune segmentation. Rien n'est déduit d'une personne à partir de ses demandes : ni son budget, ni ses habitudes, ni sa valeur commerciale.

Le prix est calculé automatiquement, et ce n'en est pas pour autant une décision sur la personne : c'est un calcul sur le dessin. Le même dessin donne le même prix à tout le monde.

Une seule décision automatique existe, et la voici en entier. Le freinage anti-abus refuse l'envoi au-delà de cinq demandes en quinze minutes ou de vingt demandes en vingt-quatre heures, comptées par marchand et par empreinte de source. Il refuse un envoi : il ne ferme aucun compte, n'inscrit personne sur une liste, et ne garde son empreinte que vingt-quatre heures. Il ne relève donc pas de l'article 22 du RGPD, qui vise les décisions produisant des effets juridiques ou affectant significativement une personne. La marche à suivre est d'attendre, ou de contacter directement le marchand — dont les coordonnées figurent sur son propre site.

Ces deux paragraphes sont écrits parce qu'une politique muette sur le traitement automatisé laisse le lecteur supposer le pire, et parce qu'il a fallu chercher dans le code pour répondre : la réponse appartient au lecteur, pas au dépôt.

3.8 Exercer ses droits quand on est le client d'un marchand

Adressez-vous d'abord au marchand : c'est lui le responsable du traitement, et c'est son nom qui figure sur le devis que vous avez reçu.

Vous pouvez aussi écrire directement à Contact@Archstone-italia.com. Nous savons retrouver une personne à partir de sa seule adresse électronique, à travers tous les marchands, lui rendre l'inventaire de ce qui la concerne, et l'effacer. L'effacement anonymise les lignes qui pèsent dans une comptabilité — un devis chiffré reste un montant, vidé de l'identité — et supprime celles dont l'identité est toute la substance. Nous en informons le marchand concerné, puisque la décision lui revient.

Ces gestes sont aujourd'hui déclenchés par une personne, pas par une machine : comptez quelques jours ouvrés, dans la limite du mois que fixe le RGPD.

Aucune décision automatisée au sens art. 22 RGPD : validation manuelle des comptes.

Éditeur, sous-traitants techniques (cf. section 6), autorités si la loi l'impose. Jamais vendues ni cédées à des tiers à des fins commerciales.

Stripe est seul destinataire des données de paiement : le numéro de carte ne transite jamais par les serveurs d'Archstone Italia, qui n'en conserve aucune trace. Archstone Italia ne reçoit de Stripe que l'identifiant du client, celui de l'abonnement et celui des factures.

Transferts vers les États-Unis encadrés par les Clauses Contractuelles Types (Décision UE 2021/914) et EU-US Data Privacy Framework (DPF).

• HTTPS/TLS 1.3 imposé (Cloudflare SSL Full + Always HTTPS)
• Mots de passe bcrypt 12 rounds, jamais en clair
• Sessions JWT signées (NextAuth v5) — 8 h ou 30 j
• K-bis hors arborescence publique, accessibles via API admin authentifiée
• Cloisonnement des rôles USER/ADMIN, vérifications côté serveur
• Sauvegardes complètes, contrôlées à l'écriture, quatorze générations conservées
• Journalisation des accès admin, monitoring
• Maintenance régulière des dépendances

Cette liste a annoncé jusqu'au 8 septembre 2026 des « sauvegardes automatiques quotidiennes (Supabase) ». C'était inexact, et la politique de réponse aux incidents disait déjà le contraire sur la même vitrine : les sauvegardes sont aujourd'hui manuelles et conservées sur la même machine que ce qu'elles protègent. L'automatisation et la copie hors site sont en cours de mise en place. Deux pages publiques qui se contredisent valent moins qu'une seule qui dit ses limites.

Notification CNIL en 72 heures en cas de violation (art. 33 RGPD).

• Droit d'accès (art. 15)
• Droit de rectification (art. 16)
• Droit à l'effacement (art. 17)
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité (art. 20)
• Droit d'opposition (art. 21)
• Droit de définir des directives post-mortem (art. 85 loi I&L)
• Droit de retirer votre consentement à tout moment

Exercer vos droits

Demande à Contact@Archstone-italia.com ou par courrier postal. Pièce d'identité demandable. Réponse sous un mois, prolongeable de 2 mois.

Réclamation CNIL

CNIL — 3 place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07
Téléphone : 01 53 73 22 22
https://www.cnil.fr/fr/plaintes

Exclusivement des cookies strictement nécessaires (article 82 loi I&L) :

Aucun cookie publicitaire, mesure d'audience tiers, ni pixel de réseau social.

Site strictement réservé à des professionnels majeurs. Suppression sans délai si données de mineur détectées.

Version en vigueur = celle datée en tête. Modifications substantielles notifiées.