Politique de confidentialité

Le responsable du traitement est SUNRISE, SARL au capital de 1000 €, SIREN 977 704 261, RCS Saint-Denis de La Réunion, dont le siège est 6 chemin Hautbois, 97417 La Montagne, La Réunion, agissant pour le compte de ses filiales Sunshine Immobilier et Sunshine Invest.

Contact : contact@sunshine-immobilier.com — 0692 30 19 23.

Délégué à la protection des données : aucun DPO désigné.

Le logiciel traite les données :

• des clients et prospects de l'agence : vendeurs, acquéreurs, bailleurs, locataires, candidats à la location ;
• des collaborateurs du groupe, pour leur compte et le suivi de leur activité ;
• des tiers d'un dossier lorsqu'ils y interviennent : notaire, diagnostiqueur, syndic, garant.

Le principe est celui de la minimisation : une donnée n'est demandée que si un dossier ou une obligation légale l'exige.

• Identité et coordonnées — nom, adresse, courriel, téléphone. Base légale : exécution du mandat ou du bail, mesures précontractuelles.
• Éléments du dossier — bien concerné, visites, offres, conditions financières, pièces justificatives. Base légale : exécution du contrat et obligation légale.
• Situation du candidat locataire — revenus, employeur, garant, dans les limites fixées par le décret n° 2015-1437. Base légale : mesures précontractuelles.
• Pièces d'identité et éléments de vigilance, au titre de la lutte contre le blanchiment. Base légale : obligation légale.
• Registre des mandats et des versements, tenu et conservé au titre de la loi Hoguet. Base légale : obligation légale.
• Traces techniques — journal d'audit des opérations sensibles, sessions. Base légale : intérêt légitime à la sécurité et à la preuve.
• Communications — envoi d'annonces par courriel ou texto aux acquéreurs inscrits. Base légale : consentement, avec désinscription en un clic dans chaque message.

Aucune décision automatisée produisant des effets juridiques n'est prise. Le rapprochement entre un bien et une recherche est une aide à la décision : un négociateur choisit et décide.

• Registre des mandats et des versements : 10 ans, sans modification possible (loi Hoguet).
• Dossiers clients : durée de la relation, puis archivage pendant la durée de prescription applicable.
• Pièces de vigilance anti-blanchiment : 5 ans à compter de la fin de la relation d'affaires.
• Pièces comptables : 10 ans.
• Prospects sans suite : 3 ans à compter du dernier contact.
• Candidatures locatives non retenues : les pièces sont supprimées dès la conclusion du bail avec un autre candidat.
• Journal d'audit : [à compléter : durée de conservation du journal d'audit].

Un collaborateur peut relier son calendrier professionnel Google au logiciel. Cette liaison est facultative, individuelle et révocable.

Ce à quoi l'application accède — et rien d'autre :

• .../auth/calendar.events — créer et mettre à jour, dans le calendrier professionnel dédié, les événements correspondant aux visites et rendez-vous planifiés dans Sunshine.
• .../auth/calendar.readonly — lire les créneaux occupés de ce même calendrier, afin d'afficher à l'équipe la disponibilité de chacun.

Ce à quoi elle n'accède pas : les courriels, les contacts, les fichiers Drive, les photos, et l'agenda personnel du collaborateur. L'autorisation porte sur le seul calendrier dédié, sélectionné par le collaborateur lors de la liaison.

Ce qui est conservé : un jeton d'accès chiffré, l'identifiant du calendrier choisi, et l'identifiant technique des événements créés par Sunshine, pour pouvoir les mettre à jour. Les créneaux lus servent à l'affichage des disponibilités et ne sont pas archivés.

Retrait : la liaison se retire à tout moment depuis le logiciel, ou depuis myaccount.google.com/permissions. Le jeton est alors supprimé et la synchronisation s'arrête.

Usage limité. Sunshine's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
En français : l'usage et le transfert, par Sunshine, des informations reçues des API Google respectent la politique relative aux données utilisateur des services d'API Google, y compris ses exigences d'usage limité. Ces données ne sont ni vendues, ni utilisées à des fins publicitaires, ni exploitées pour entraîner des modèles d'intelligence artificielle, ni consultées par des personnes en dehors des cas prévus par cette politique.

Les données ne sont accessibles qu'aux collaborateurs habilités du groupe, dans la limite de leurs habilitations. Elles peuvent être transmises, pour les besoins d'un dossier, aux tiers qui y concourent : notaire, diagnostiqueur, syndic, organisme de garantie financière, expert-comptable, administration en cas de contrôle.

Interviennent également comme sous-traitants :

• DEEPLOI — développement et hébergement du service, sur serveur situé dans l'Union européenne ;
• Brevo — acheminement des courriels et des textos, société établie dans l'Union européenne ;
• Google Ireland Limited — pour la seule synchronisation des agendas décrite à la section 5, et uniquement pour les collaborateurs qui l'ont activée.

Les données ne sont jamais vendues, ni louées, ni cédées à des fins de prospection par des tiers.

L'hébergement et les données de l'agence restent dans l'Union européenne. La synchronisation des agendas peut impliquer un traitement par Google en dehors de l'Union, encadré par les clauses contractuelles types de la Commission européenne et le cadre de protection des données UE–États-Unis. Ce traitement ne concerne que les collaborateurs ayant activé la liaison, et porte sur leurs seuls créneaux professionnels.

• accès nominatif, phrase de passe d'au moins douze caractères et second facteur d'authentification ;
• habilitations par société et par domaine : chacun ne voit que ce qui relève de sa mission ;
• chiffrement des échanges, chiffrement au repos des secrets d'authentification et des jetons d'accès aux agendas ;
• journal d'audit des opérations sensibles, registres légaux inaltérables ;
• sauvegardes régulières conservées hors du serveur, et restauration testée ;
• fermeture immédiate de l'accès au départ d'un collaborateur.

En cas de violation de données susceptible d'engendrer un risque pour les personnes, la CNIL est notifiée dans les 72 heures et les personnes concernées sont informées lorsque le risque est élevé.

Le service utilise un unique cookie de session, strictement nécessaire à l'authentification. Il expire au bout de douze heures et disparaît à la déconnexion.

Aucun cookie de mesure d'audience, de publicité ou de suivi tiers n'est déposé, ce qui dispense de recueillir un consentement à ce titre.

Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.

Ces droits s'exercent auprès de contact@sunshine-immobilier.com ou par courrier à SUNRISE, 6 chemin Hautbois, 97417 La Montagne, La Réunion. Une réponse est apportée dans le délai d'un mois.

Limite à connaître : les données inscrites au registre des mandats ou conservées au titre d'une obligation légale ne peuvent pas être effacées avant le terme de leur durée de conservation. Le droit d'opposition ne s'y applique pas.

En cas de désaccord, une réclamation peut être adressée à la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Cette politique peut évoluer, notamment si de nouvelles fonctionnalités traitent de nouvelles données. La version applicable est celle publiée sur cette page, dont la date figure en tête. Les mentions légales et les conditions d'utilisation complètent le présent document.