Politique de confidentialité

Cette politique décrit les données personnelles que MALO Lab traite via ce site, les raisons de ces traitements, leur durée de conservation et les droits dont vous disposez. Elle applique le Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

En bref

• Le formulaire du site demande trois informations : votre prénom, votre numéro de téléphone et le nombre de mandats rentrés l'an dernier.
• Nous nous en servons pour vous rappeler et fixer l'appel de vingt minutes. Pour rien d'autre.
• Assistant conversationnel : le contenu des messages que vous échangez avec l'agent du site, pour répondre à votre demande et améliorer le service. N'y indiquez pas d'éléments sensibles inutiles.
• Cookies techniques : strictement nécessaires au fonctionnement du site.
• Aucun traceur publicitaire et aucune mesure d'audience. Deux services extérieurs interviennent, jamais à l'ouverture de la page : l'agenda Cal.com, qui ne se charge qu'après l'envoi de votre demande, et le fournisseur du modèle d'intelligence artificielle qui répond dans l'assistant conversationnel, sollicité uniquement quand vous lui écrivez.
• Vos données ne sont ni vendues, ni louées, ni échangées.

1. Responsable du traitement

Le responsable du traitement est Martin Laermans, indépendant en personne physique, exerçant sous le nom commercial MALO Lab, établi Rue P. Mattheussens 57 boîte 2, 1140 Evere, Belgique, inscrit à la Banque-Carrefour des Entreprises sous le numéro 1031.619.249.

Contact pour toute question relative à vos données : contact@malolab.be · +32 456 41 61 34.

Nous n'avons pas désigné de délégué à la protection des données : nos traitements ne relèvent d'aucun des cas prévus à l'article 37 du RGPD (nous ne sommes pas un organisme public, nous ne pratiquons pas le suivi systématique à grande échelle et nous ne traitons pas de données sensibles à grande échelle). Vos demandes sont traitées directement par Martin Laermans, à l'adresse ci-dessus.

2. Données traitées, finalités et bases légales

2.1 Votre demande de rappel

Le formulaire de la page d'accueil recueille trois informations : votre prénom, votre numéro de téléphone et, facultativement, le nombre de mandats que vous avez rentrés l'an dernier. Nous ne demandons ni votre nom de famille, ni votre adresse e-mail, ni votre adresse postale.

• Finalité : vous rappeler, fixer le rendez-vous de vingt minutes et le préparer utilement.
• Base légale : article 6.1.b du RGPD, mesures précontractuelles prises à votre demande. Sans prénom ni numéro, nous ne pouvons pas vous rappeler : ces deux champs sont donc nécessaires. Le nombre de mandats reste facultatif.
• Destination : enregistrement dans notre base de données et envoi d'une notification à notre boîte e-mail interne.

2.2 Protection du formulaire contre les abus

Un formulaire ouvert sur internet est envoyé par des robots. Pour limiter ces envois sans jamais écarter une demande légitime, nous enregistrons avec chaque demande :

• une empreinte de votre adresse IP : un hachage SHA-256 calculé avec un sel secret. L'adresse elle-même n'est jamais enregistrée et l'empreinte ne permet pas de la reconstituer ;
• votre agent utilisateur (navigateur et système d'exploitation annoncés par votre appareil), tronqué à 400 caractères ;
• un indicateur technique lorsque le formulaire a été rempli en moins de 1,2 seconde, délai sous lequel un remplissage humain est improbable. Une demande ainsi marquée est enregistrée comme les autres et relue par une personne : elle n'est jamais rejetée automatiquement.

Un compteur limite par ailleurs les envois à cinq par heure et par adresse IP, et à deux cents par heure pour l'ensemble du site. Ce compteur utilise lui aussi une empreinte de l'adresse IP, jamais l'adresse en clair, et les lignes expirées sont effacées.

Base légale : article 6.1.f du RGPD, notre intérêt légitime à protéger le service contre les envois automatisés et à garder un formulaire utilisable. Cet intérêt est mis en balance avec vos droits : nous ne conservons aucune donnée directement identifiante à cette fin.

Les messages échangés avec l'assistant conversationnel sont traités par notre prestataire d'inférence Groq, Inc. (États-Unis). Ce transfert hors Union européenne est encadré par les clauses contractuelles types de la Commission européenne, intégrées à l'accord de traitement des données de ce prestataire.

2.3 Suivi de votre demande

Après votre appel, nous notons l'état de l'échange (nouveau, contacté, rendez-vous pris, client, sans suite), la date de traitement et, le cas échéant, quelques notes utiles au suivi commercial. Base légale : article 6.1.f (intérêt légitime à organiser notre activité commerciale) et, si un contrat suit, article 6.1.b.

2.4 La réservation de votre créneau

Une fois votre demande envoyée, un agenda fourni par Cal.com s'affiche pour vous laisser choisir l'horaire de l'appel. Cet agenda est chargé dans un cadre isolé, et seulement à ce moment : il n'est jamais présent à l'ouverture de la page.

• Ce que nous transmettons à Cal.com : uniquement un identifiant interne tiré au hasard, qui nous sert à rattacher le rendez-vous à votre demande. Ni votre prénom, ni votre numéro de téléphone ne sont placés dans l'adresse du cadre.
• Ce que vous transmettez vous-même à Cal.com : les informations que vous saisissez dans l'agenda pour réserver, à savoir votre nom, votre adresse e-mail et le créneau retenu. Cal.com les traite alors pour notre compte, et nous les récupérons pour préparer l'appel.
• Finalité et base légale : fixer le rendez-vous que vous demandez — article 6.1.b du RGPD, mesures précontractuelles. Le cadre n'étant chargé qu'à votre initiative et pour le service que vous venez de demander, les cookies qu'il dépose sont strictement nécessaires à ce service.
• Si vous renoncez : votre demande de rappel reste enregistrée chez nous et nous vous rappelons. Fermer l'agenda sans réserver n'efface rien et ne vous engage à rien.

2.5 Votre choix sur les cookies

Votre réponse au bandeau (accepter ou refuser) et sa date sont enregistrées dans le stockage local de votre navigateur, sous la clé dgp-cookie-consent. Cette valeur reste sur votre appareil et ne nous est jamais transmise. Elle nous évite de vous reposer la question à chaque visite et sert de trace de votre choix. Au bout de six mois, la question vous est reposée.

Base légale : article 129 de la loi du 13 juin 2005 relative aux communications électroniques, qui transpose la directive ePrivacy. La conservation d'un choix de consentement est elle-même nécessaire au service que vous demandez.

2.6 L'assistant conversationnel

L'assistant affiché sur la page d'accueil répond réellement, au moyen d'un modèle d'intelligence artificielle. Quand vous lui écrivez, le contenu de vos messages est transmis à notre serveur, puis au fournisseur du modèle, afin de générer la réponse. Nous conservons l'historique de la conversation pendant trente jours, le temps d'assurer le service et de l'améliorer, puis il est supprimé. Base légale : article 6.1.f (intérêt légitime à démontrer le service et à en assurer le bon fonctionnement). Votre adresse IP n'est jamais conservée en clair, seulement sous forme d'empreinte. N'indiquez pas de données sensibles inutiles dans vos messages. Le fournisseur du modèle est établi hors de l'Union européenne (voir la section sur les transferts hors UE).

2.7 Journaux techniques de l'hébergeur

Comme tout site, ce site est servi par un hébergeur qui journalise les requêtes reçues (adresse IP, date, page demandée, code de réponse) pour assurer la disponibilité et la sécurité du service. Base légale : article 6.1.f. Ces journaux sont tenus par l'hébergeur selon sa propre durée de conservation : un jour, sur l'offre Pro de Vercel (voir la section 6).

2.8 Prospection auprès des professionnels

Nous contactons des agences immobilières à partir d'informations professionnelles publiques : Banque-Carrefour des Entreprises, annuaires, cartographies ouvertes et sites des agences. Les données concernées sont des coordonnées professionnelles (raison sociale, adresse de l'agence, téléphone, adresse générique du type info@ ou contact@) et, quand elles figurent publiquement sur le site de l'agence, le nom et la fonction d'un interlocuteur.

• Base légale : article 6.1.f du RGPD, intérêt légitime à proposer nos services à des entreprises dont l'activité correspond à notre offre.
• Information : lorsque nous n'avons pas recueilli ces données auprès de vous, l'article 14 du RGPD nous impose de vous informer, ce que nous faisons au plus tard lors du premier contact, en renvoyant à la présente politique.
• Opposition : vous pouvez vous opposer à cette prospection à tout moment, sans avoir à vous justifier (article 21.2 du RGPD). Un e-mail à contact@malolab.be suffit, et nous cessons immédiatement.
• Publicité par e-mail : nous respectons l'article XII.13 du Code de droit économique. Chaque envoi identifie clairement son expéditeur et propose un moyen simple et gratuit de s'y opposer.
• Appels : nous ne rappelons que les personnes qui l'ont demandé via le formulaire, et nous tenons compte de la liste belge « Ne m'appelez plus ! » pour la prospection téléphonique.

3. Ce que nous ne faisons pas

• Aucune vente, location ou mise à disposition de vos données à des tiers à des fins commerciales.
• Aucun profilage et aucune décision entièrement automatisée produisant des effets juridiques ou vous affectant de manière significative (article 22 du RGPD).
• Aucun traceur publicitaire, aucun pixel de réseau social, aucune mesure d'audience à ce jour. Si nous en ajoutons un, il ne se chargera qu'après votre accord explicite via le bandeau, et cette politique sera mise à jour avant.
• Aucune police de caractères appelée sur un serveur tiers : les polices sont copiées sur notre propre domaine à la compilation du site, de sorte que votre navigateur ne communique votre adresse IP à aucun fournisseur extérieur en affichant la page.
• Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, convictions, orientation, données biométriques) n'est demandée ni traitée.

4. Destinataires et sous-traitants

Vos données sont accessibles à Martin Laermans, responsable du traitement. Elles sont en outre hébergées ou acheminées par les prestataires suivants, chacun lié par un contrat de sous-traitance conforme à l'article 28 du RGPD et n'agissant que sur nos instructions :

• Hébergement du site : Vercel Inc., société établie aux États-Unis. Les fonctions serveur qui traitent votre demande sont contraintes à s'exécuter à Francfort, et les pages sont diffusées depuis Paris : le traitement a donc lieu dans l'Union européenne, même si le prestataire est américain.
• Base de données : Neon, service PostgreSQL édité par une société américaine, dont la base qui nous héberge est située à Francfort (AWS eu-central-1). C'est là que sont enregistrées les demandes de rappel.
• Notification par e-mail : Resend, service d'envoi transactionnel établi aux États-Unis, qui achemine vers notre boîte interne l'alerte contenant votre prénom, votre numéro et le nombre de mandats.
• Agenda de rendez-vous : Cal.com, Inc., société établie aux États-Unis, qui héberge l'agenda et traite les informations que vous saisissez pour réserver un créneau (nom, adresse e-mail, horaire choisi, fuseau horaire), ainsi que l'identifiant interne que nous lui transmettons.

Nous communiquons par ailleurs des données lorsque la loi nous y oblige, notamment à la demande d'une autorité judiciaire ou administrative compétente, et à notre comptable pour les pièces relatives à des clients.

5. Transferts hors de l'Union européenne

Cinq prestataires sont des sociétés établies aux États-Unis : Vercel, qui héberge le site, Neon, qui héberge la base de données, Resend, par lequel transite la notification interne déclenchée par votre demande, Cal.com, qui héberge l'agenda de réservation, et Sentry, qui reçoit les erreurs techniques du serveur (message et pile d'exécution, sans le contenu de vos demandes ni votre adresse IP en clair) pour en assurer la supervision, lorsque cette supervision est activée et de préférence dans sa région européenne. Pour Vercel et Neon, l'infrastructure réellement utilisée est européenne — Francfort pour les traitements serveur et la base, Paris pour la diffusion des pages — de sorte que vos données y sont stockées et traitées dans l'Union européenne ; c'est la nationalité du prestataire, et donc la possibilité d'un accès depuis les États-Unis, qui fonde l'encadrement ci-dessous. Cal.com propose une offre entièrement hébergée dans l'Union européenne, mais réservée aux organisations d'au moins cinquante utilisateurs : elle est hors de portée à notre échelle, et nous réexaminerons ce choix si le seuil devient atteignable. Ce transfert repose sur les clauses contractuelles types de la Commission européenne et, le cas échéant, sur la certification du prestataire au cadre de protection des données UE–États-Unis (Data Privacy Framework). Vous pouvez nous demander une copie des garanties applicables. En dehors de ce cas, vos données restent hébergées dans l'Union européenne.

6. Durées de conservation

• Demande de rappel sans suite : douze mois après le dernier contact, puis suppression.
• Demande identifiée comme automatisée : trente jours, le temps de la vérifier.
• Rendez-vous pris ou annulé : la date du créneau et son état suivent le sort de la demande à laquelle ils se rattachent — douze mois si l'échange reste sans suite. Chez Cal.com, vous pouvez annuler votre réservation à tout moment depuis le lien reçu par e-mail.
• Empreinte IP et agent utilisateur : supprimés en même temps que la demande à laquelle ils se rattachent.
• Historique de conversation avec l'assistant : trente jours, puis suppression.
• Compteurs anti-abus : quelques heures au maximum, puis effacement automatique.
• Dossier client : pendant toute la relation contractuelle, puis dix ans, durée de prescription des actions contractuelles en droit belge.
• Factures et pièces comptables : sept ans à compter du 1er janvier de l'année qui suit la clôture de l'exercice, conformément à l'article III.86 du Code de droit économique et à la réglementation TVA.
• Choix de consentement aux cookies : six mois, sur votre appareil.
• Journaux techniques de l'hébergeur : un jour, durée de conservation appliquée par Vercel aux journaux d'exécution sur son offre Pro.

7. Vos droits

Sur les données qui vous concernent, vous pouvez exercer :

• le droit d'accès : savoir si nous traitons des données vous concernant et en obtenir une copie (article 15) ;
• le droit de rectification : faire corriger une information inexacte ou incomplète (article 16) ;
• le droit à l'effacement : faire supprimer vos données lorsqu'elles ne sont plus nécessaires ou que vous vous opposez valablement à leur traitement (article 17) ;
• le droit à la limitation : geler l'utilisation de vos données pendant l'examen d'une contestation (article 18) ;
• le droit d'opposition : vous opposer à un traitement fondé sur notre intérêt légitime, et de façon inconditionnelle à toute prospection (article 21) ;
• le droit à la portabilité : recevoir dans un format lisible par machine les données que vous nous avez fournies (article 20) ;
• le droit de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci, sans que cela remette en cause ce qui a été fait avant le retrait.

Pour exercer ces droits, écrivez à contact@malolab.be en indiquant le prénom et le numéro de téléphone communiqués lors de votre demande, ce qui nous permet de retrouver l'enregistrement. Nous répondons dans le mois, délai prolongeable de deux mois pour une demande complexe, auquel cas nous vous en informons (article 12.3). L'exercice de vos droits est gratuit.

Si un doute raisonnable subsiste sur votre identité, nous pouvons demander un élément de vérification complémentaire (article 12.6). Conformément aux recommandations de l'Autorité de protection des données, nous ne réclamons jamais une copie intégrale de votre carte d'identité : masquez la photo et le numéro de registre national si vous nous transmettez un document.

8. Réclamation

Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de l'autorité de contrôle belge :

• Autorité de protection des données (APD)
• Rue de la Presse 35, 1000 Bruxelles
• +32 (0)2 274 48 00
• contact@apd-gba.be — autoriteprotectiondonnees.be

Vous conservez également le droit d'introduire un recours juridictionnel devant le tribunal compétent.

9. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au volume limité de données traitées :

• transmission chiffrée de bout en bout (HTTPS, avec en-tête HSTS en production) ;
• en-têtes de sécurité restrictifs : politique de sécurité du contenu, interdiction d'affichage du site dans un cadre externe, contrôle de l'origine des envois de formulaire ;
• minimisation : trois champs demandés, adresse IP jamais conservée en clair, aucune donnée personnelle transmise dans une adresse URL — y compris vers l'agenda, qui ne reçoit qu'un identifiant interne tiré au hasard ;
• identifiants et clés d'accès conservés hors du code source, dans des variables d'environnement, et jamais publiés ;
• accès à la base de données restreint au responsable du traitement et à ses outils d'administration.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous en informons l'Autorité de protection des données dans les 72 heures (article 33) et, lorsque le risque est élevé, nous prévenons directement les personnes concernées (article 34).

10. Mineurs

Ce site s'adresse à des professionnels de l'immobilier. Nous ne collectons pas sciemment de données concernant des mineurs. Si une telle donnée nous parvenait, elle serait supprimée dès que nous en aurions connaissance.

11. Modifications

Cette politique peut évoluer, notamment si nous ajoutons un outil de mesure d'audience. La date de dernière mise à jour figure en tête de page. Un changement affectant vos droits de manière significative vous sera signalé avant son entrée en vigueur.

12. Textes appliqués

• Règlement (UE) 2016/679 du 27 avril 2016 (RGPD).
• Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.
• Article 129 de la loi du 13 juin 2005 relative aux communications électroniques (cookies et traceurs).
• Livre XII du Code de droit économique, notamment l'article XII.13 (publicité par courrier électronique), et Livre VI (pratiques du marché).
• Article III.86 du Code de droit économique (conservation des documents comptables).